iSecure blog

V době kdy začali vyhledávače vydávat kdejaký lišty do browserů mi bylo nebylo úplně jasné k čemu je veškerá ta snaha. Reklamy(až na vlastní produkt - vyhledávač) neobsahují, tak nač programovat něco co vám celkem zbytečně zabere dalších pár pixelů z vašeho drahoceného monitoru ? Podle mě jsou tu dvě odpovědi, částečně si nadbytečným políčkem vyhledávání připoutáte některé uživatele. Ta druhá a podle mě důležitější, že můžete sledovat co uživatelé lišty dělají.

Donedávna jsem to považoval spíš za velice pravděpodobnou paranoidní teorii, kterých můj chorý mozek vyprodukoval už nespočetně, ale pořád mi chyběl důkaz. I jal jsem se tedy dekompozitit na drobné částečky lištu Seznamu.

‘Za účelem poskytování této služby tímto Uživatel souhlasí s tím, že při vyhodnocování návštěvnosti internetových stránek v rámci služby “S-rank” včleněné do Softwaru bude Společnosti poskytnuta informace o skutečnosti, že Uživatel se připojil k dané internetové stránce.’ (http://software.seznam.cz/listicka/install.html?antivir=on&browser=geck)

Na liště máte hned po instalaci zapnutý S-Rank. Docela bych se divil, že by ho někdo záměrně vypínal. Lajk pravděpodobně hodnocení s-rankem nikdy nevypne, protože nemá tušení k čemu je to dobré. A jako takový může skvěle sloužit právě ke sledování pohybu, tím že při každé změně stránky odešle právě požadavek na zjištění sranku což bylo řečeno v citátu výše. A kdo vlastně potřebuje vědět srank ? Kromě pár vyvolených co tvoří a spravují weby je ta informace naprosto zbytečná.

Odeslání požadavku na srank funguje na stejném principu jako AJAX resp. js RPC, tzn že odešlete POST s xmlkem, které serveru dodá potřebné údaje a odpovědí bude další xmlko s požadovanýma hodnotama.

<?xml version="1.0" encoding="ISO-8859-1"?>
<methodCall>
  <methodName>getRank</methodName>
  <params>
    <param>
      <value>
        <string>
          32c42069846497cebbaffec1baec64df
        </string>
      </value>
    </param>
    <param>
      <value>
        <string>
          http://www.adresa.cz
        </string>
      </value>
    </param>
    <param>
      <value>
        <i4>
          -1282308875
        </i4>
      </value>
    </param>
  </params>
</methodCall>

Teď vás možná napadne co je i4 a co je ten teplej string tam nahoře. Mě to taky napadlo. Popojedem…

Ta zásadní část kódu vypadá asi takhle

zkráceně…

var instanceId = foxcubPreferences.getString("instance.id");
var url = window._content.document.location.toString();
var hash = foxcubSecurity.getHash(instanceId + url, "SHA1");
var crc = foxcubSecurity.getCrc32(hash);
url = url.replace(/\&/g, "&");
var rankResult = this.mCache[url];
if (rankResult == null)
{
	rankResult = foxcubXmlRpc.getSRank(instanceId, url, crc);
	this.mCache[url] = rankResult;
}
if (this.mListener != null)
{
	this.mListener.srankChanged(rankResult.rank);
}

fce getSRank vypadá zkráceně asi takhle

const FORMATSRANK = "<?xml version=\"1.0\" encoding=\"ISO-8859-1\"?><methodCall><methodName>getRank</methodName><params><param><value><string>{0}</string></value></param><param><value><string>{1}</string></value></param><param><value><i4>{2}</i4></value></param></params></methodCall>";
...
getSRank: function(aClientId, aUrl, aCrc)
    ...
    var requestXml = foxcubUtilities.formatString(FORMATSRANK, aClientId, aUrl, aCrc);
    ...
    foxcubUtilities.log(requestXml);
    var responseXml = foxcubDownload.requestPost(foxcubNavigation.urlRpcSRank, requestXml, 0, "text/xml", "xml");
    return new SRankResult(responseXml);
    ...
}

Takže si to shrňme. Prvním parametrem fce getSRank je ‘instance.id’, proměná která je získána po instalaci, jakým způsobem jsem nepátral, ale zůstává po instalaci lištičky stejná(!!!). To také znamená že ten záhadný string na začátku je přímo Vaší jedinečnou identifikací ! 1:0 pro bratra Lukačoviče. Nic hrozného se neděje, jste ‘anonymní’, zatím.

Drůhým parametrem jak už jistě i ti pomalejší poznali je adresa samotné posuzované stránky. Třetí je kontrolní součet hashe instance.id a url v sha1. Fci pro kontrolní součet najdete vevnitř scriptů. Je tam imho jenom z toho důvodu aby zajistila nějak legitimitu údajů proti šťouralům, kteří by pak kazily statistiky lištičky vygenerováním pokaždé jiného id a vyhledávali by tu samou stránku, to by teoreticky (!) mohlo vést k tomu, že by seznam mohl usoudit, že je stránka oblíbená a přidal by jí při vyhledávání body navrch.

Bohužel tim sranda nekončí. Řekněme že si k tomu ještě pořídítě schránku taktéž od seznamu a nastavíte si jí do lištičky. Určitě šikovná věc pro uživatele, má pořád přehled nad svojí poštou. Ale vemte si to z druhé stránky.

V tuto chvíli ví seznam, právě podle vaší jednoznačné identifikace lištičky, že lezete pravidelně na ty a ty béčkové pornostránky, ví že si chatujete s 14ti-letýma buchtama o čuňačinkách (chat lide.cz), ví jaké máte školy (spoluzaci.cz), nebo má ideálně celý váš profil na lide.cz… a z pošty se nechá taky lecos vyčíst. Neříkám že seznam takové informace shromažďuje a nějak využívá, ale rozhodně má tu moc a to se počítá.

Líbí se vám to ?