当前位置:IT信息 > 正文
电子邮件跟踪术:通过网络追踪你的生活,暴露你的隐私

  你一天查看几遍电子邮件?我们知道,网络追踪者在我们上网冲浪的时候窥探我们,但这一情况对电子邮件跟踪同样适用。事实上,跟踪频率可能比你认识到的还要高。

  普林斯顿大学3名研究人员为 PETS 2018 (隐私强化技术论文集)撰写的研究文章《我从没注册过这个!电子邮件跟踪的隐私影响》,阐述的就是此一问题。

  研究人员将电子邮件跟踪描述为“非常普遍”,因为85%都包含有嵌入的第三方内容。其中,70%就是涉嫌网络跟踪的那些。

  “仅仅打开邮件,就可使这些第三方追踪你的网上生活,将你的网上活动与你的电子邮件地址相关联,而不仅仅是关联到一个匿名的cookie。

  追踪者可将电子邮件地址关联到浏览历史和资料,引发进一步的隐私泄露,比如跨设备跟踪和线上及线下活动的关联。

  研究人员开发的OpenWPM网络爬虫访问了1.57万个提供商业电邮列表订阅表单的网站,成功从902个发件人注册了12,618个邮件列表。他们发现了一个由数百第三方组成的网络,这些第三方通过嵌入图像之类的方法追踪电子邮件收件人。约有30%的邮件,在被打开时将收件人邮件地址泄露给一家或多家第三方。大多数案例中,这些泄露都是发件人故意的,而一旦收件人点击了邮件中的链接,进一步的泄露产生。

  那么,有多少泄露是故意的呢?文章中称,“暴露给第三方的100,963起泄露中,62%是故意的。”如果被泄电邮地址按很多Web邮件客户端常用做法与跟踪cookie相关联,那么隐私风险会更加严重。

  电子邮件跟踪例子

  以交易网站LivingSocial的邮件为例,研究人员发现:

  当邮件被打开,客户端会向横跨29个第三方域名的24家第三方发出请求。总共有10家第三方收到了该用户电子邮件地址的MD5散列值,包括主要数据代理Datalogix和Acxiom。几乎全部第三方(24家中的22家)设置或接收随附请求的cookie。某Web邮件客户端中,这些cookie都是用于在网络上跟踪用户的浏览器cookie,而且,确实很多主要Web追踪者(包括属于谷歌、comScore、Adobe和AOL的域名),在邮件被打开时都被加载了。虽然该样例邮件含有相对普通邮件而言很大量的追踪者,绝大部分电子邮件(70%)会被嵌入至少一个。

  被泄邮件地址最常见收件人

  接收被泄邮件地址的5大公司LiveIntent、Acxiom、Litmus Softwar、Conversant Media 和Neustar。

  如果用户确实点击了邮件中的链接,那么该用户电子邮件地址可能被泄露给第三方。研究人员发现,10大泄露收件人公司是:谷歌、Facebook、推特、Adobe、微软、Pinterest、LiveIntent、阿卡迈、Acxiom和AppNexus。

  电子邮件客户端的隐私影响功能

  研究人员制作了一款电子邮件隐私测试器,确定16个邮件客户端的隐私影响功能。

  Gmail通过Web、安卓和iOS应用访问,封锁代理内容,如果被认为是垃圾邮件,只在Web上封锁图像,3种访问渠道都封锁引用链接和cookie,但仅Web版本提供扩展支持。

  Outlook Web App、outlook.com和 Outlook 2016 桌面版,不封锁代理内容。虽然App和 Outlook 2016 都封锁图像,但Outlook.com仅在被标为垃圾邮件时封锁图像。与App和Outlook.com不同,Outlook 2016 不封锁引用链接。所有这3种客户端都封锁cookie,而仅 Outlook 2016 不提供扩展支持。

  Windows邮件客户端桌面版仅仅封锁引用链接。

  苹果邮件客户端iOS和桌面版都不封锁代理内容或图像——除非被认为是垃圾邮件,但二者都封锁引用链接和cookie,只是都不提供扩展支持。

  Thunderbird桌面版不封锁代理内容,但封锁图像和引用链接,如果默认设置从“否”修改为“是”的话,cookie也是可以封锁的,而且提供扩展支持。

  防御电子邮件跟踪

  研究人员提供了5种可能的电子邮件跟踪防御方法,包括:内容代理、HTML过滤、cookie封锁、引用链接封锁、请求封锁。

  使用封锁图像的电子邮件客户端,可削减隐私风险,但同时也会造成试图展示图片的邮件无法阅览。

  除了使用默认封锁图像的邮件客户端,uBlock Origin、Privacy Badger 或Ghostery之类的浏览器扩展,也有助于封锁跟踪请求。这些扩展可将跟踪削减一半,但无法杜绝。

  “我们发现,跟踪防护列表EasyList和EasyPrivacy,可将邮件浏览中发生的邮箱泄露数量减少87%。或许,重视隐私的用户可用的最佳选择,是采用Web邮件并安装跟踪防护工具,比如 uBlock Origin 或Ghostery。使用独立客户端的用户必须找寻支持隐私扩展的那些。我们研究的客户端中,唯一一款支持此类扩展的,是Thunderbird。浏览器中安装跟踪防护工具,也能提供邮件链接被点击时的防护。

相关链接:

作者: 来源:安全牛 发布时间:2017-10-19 06:12:24
 
 
  我要发表留言  查看所有评论
 

*
 限制字数显示剩余字数,最大长度: 500 还剩: 500
用户名:
       尊重网上道德,承担一切因您的行为而直接或间接导致的民事或刑事法律责任