[情報] 卡巴斯基桌面防毒軟體含有用戶可被追蹤
德國電腦雜誌c't 本周披露,Winodws版的卡巴斯基(Kaspersky)防毒軟體暗藏隱私漏洞
,可供網站追蹤用戶行為。
該雜誌定期會測試不同的防毒軟體產品,一名安裝了卡巴斯基防毒軟體的編輯Ronald
Eikenberg,意外在某個所造訪網站的程式碼中,看到來自卡巴斯基的JavaScript腳本程
式,檢驗後發現它是卡巴斯基賦予每台電腦的ID。
於是只要是安裝了卡巴斯基的防毒軟體,不管是以Firefox、Edge或Opera瀏覽器造訪任何
網站,這些網站都會被注入含有同樣ID的JavaScript。而且當Eikenberg以其它安裝了卡
巴斯基防毒軟體的電腦造訪網站時,所呈現的ID便不同。
Eikenberg把它稱為Kaspersky ID,意謂著它是由卡巴斯基賦予每一台用戶電腦的身分,
只要能讀取Kaspersky ID的網站,就能利用該ID來追蹤使用者行為,可得知該名使用者是
否曾造訪過該站,不管是哪一家瀏覽器,即使是啟用無痕模式,都難逃被追蹤,有機會遭
到行銷人員或駭客的濫用。
此一隱私漏洞,影響卡巴斯基自2015年秋天發表的所有消費者版本的Windows防毒軟體,
從免費版到Kaspersky Internet Security與Total Security,也波及Small Office
Security,估計影響數百萬名卡巴斯基用戶。
卡巴斯基在收到Eikenberg的通知之後,承認此一問題的存在,但指出相關攻擊太過複雜
且無利可圖,不過Eikenberg卻認為這是個嚴重的漏洞,若駭客或行銷人員在4年前漏洞現
身時,就打造一個網站來蒐集Kaspersky ID,現在應已具備強大的監控能力。
總之,卡巴斯基在Eikenberg的督促下分配了CVE-2019-8286編號予該漏洞,並於今年7月
修補。
Eikenberg在卡巴斯基修補之後再度進行測試,發現卡巴斯基把原本每一台電腦都具備的
ID改成產品ID,例如使用特定防毒軟體版本的用戶,都具備同樣的ID,使網站無法再辨識
個別的用戶。但Eikenberg覺得這還是有危險性存在,例如駭客就能藉由判斷防毒軟體版
本來客製化攻擊模式,亦再度向卡巴斯基提報漏洞。
不過,使用者也可在卡巴斯基防毒軟體的流量處理設定中,關閉「Inject script into
web traffic to interact with web pages」功能,即能避免讓網站存取相關ID。
原文連結:
https://www.ithome.com.tw/news/132471?fbclid=IwAR0je8ZM0p72nqddWPkAs0JGOswbVnx
YdVK8mV5Kwby_b9LKjDDDipESoZc
縮網址:https://tinyurl.com/y4lcsxyn
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.43.191.10 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1566140479.A.321.html
→
08/19 02:16,
4年前
, 1F
08/19 02:16, 1F
→
08/19 02:17,
4年前
, 2F
08/19 02:17, 2F
→
08/19 08:51,
4年前
, 3F
08/19 08:51, 3F
→
08/19 10:06,
4年前
, 4F
08/19 10:06, 4F
→
08/19 12:48,
4年前
, 5F
08/19 12:48, 5F
→
08/19 12:48,
4年前
, 6F
08/19 12:48, 6F
推
08/19 13:24,
4年前
, 7F
08/19 13:24, 7F
→
08/19 15:42,
4年前
, 8F
08/19 15:42, 8F
→
08/19 15:43,
4年前
, 9F
08/19 15:43, 9F
→
08/19 15:43,
4年前
, 10F
08/19 15:43, 10F
→
08/19 15:43,
4年前
, 11F
08/19 15:43, 11F
→
08/22 13:30,
4年前
, 12F
08/22 13:30, 12F
→
08/26 16:22,
4年前
, 13F
08/26 16:22, 13F