Session-replay skript o vás zaznamená úplně všechno, i číslo vaší kreditky, a to ještě dříve než odešlete formulář

Odborníci z Princeton University publikovali studii, jejíž výsledky vás mohou šokovat.

Možná víte, že většina webových stránek používá analytické skripty třetích stran (např. Google Analytics), které zaznamenávají navštěvy stránky a vyhledávání. V poslední době však stále více webů používá skripty "replay session". Tyto skripty zaznamenávají stisknutí kláves, pohyby myší a rolování, spolu s celým obsahem formulářů navštívených stránek a posílají je na servery třetích stran. Na rozdíl od typických služeb pro analýzu, které poskytují souhrnné statistiky, jsou tyto skripty určeny pro záznam a přehrávání jednotlivých relací prohlížení, jako kdyby se vám někdo díval přes rameno.

Rozsah dat shromažďovaných těmito službami však přesahuje očekávání uživatelů. Text zadaný do formulářů je zaznamenán dříve než uživatel odešle formulář a zároveň jsou uloženy všechny pohyby myši, to vše bez vizuální indikace pro uživatele. Nelze tedy očekávat, že tato data budou anonymní. Ve skutečnosti některé společnosti umožňují vydavatelům explicitně propojovat nahrávky s reálnou identitou uživatele.

session replay companies

Co se může pokazit? Stručně řečeno, hodně.

Shromažďování obsahu stránky může způsobit, že citlivé informace, jako jsou zdravotní údaje, údaje o kreditní kartě a další osobní data zobrazená na stránce mohou uniknout. To může vystavit uživatele krádežím identity, online podvodům a jinému nechtěnému chování. Totéž platí pro shromažďování vstupů uživatele během procesu kontroly a registrace.

Služby "session-replay" nabízejí kombinaci ručních a automatických redakčních nástrojů, které vydavatelům umožňují vyloučit citlivé informace ze záznamů. Nicméně, aby se zabránilo úniku, vydavatelé by museli pečlivě zkontrolovat a vyčistit všechny stránky, které zobrazují nebo přijímají informace o uživateli. Pro dynamicky generované weby by tento proces zahrnoval kontrolu kódu podkladové webové aplikace na straně serveru. Dále by se tento proces musel opakovat pokaždé, když je web aktualizován nebo změněna webová aplikace, která zajišťuje výkon stránek.

Největší slabiny vyplývající z testů:
1. Hesla jsou zahrnuta v nahrávkách relace
2. Citlivé uživatelské vstupy jsou redigovány částečně a nedokonalým způsobem
3. Ruční redakce osobních identifikačních údajů zobrazených na stránce je v principu nebezpečný model
4. Záznamové služby mohou selhat při ochraně uživatelských dat.

Konkrétní příklad selhání služby: Po dokončení záznamu relace jej vydavatelé mohou zkontrolovat pomocí řídicího panelu poskytovaného nahrávací službou. Dashboardy vydavatelů pro Yandex, Hotjar a Smartlook poskytují záznam v rámci stránky HTTP, a to i pro data, která se zadávají na stránkách HTTPS. To umožňuje vložení skriptu do stránky a extrakci všech záznamových dat (Man-in-the-middle). Ještě horší je, že Yandex a Hotjar doručují obsah stránky vydavatele přes HTTP a data, která byla dříve chráněna HTTPS jsou nyní zranitelná vůči pasivnímu sledování sítě.

Dalším překvapením pro vás možná bude, že tyto praktiky nejsou nijak vyjimečné. Při analýze TOP 10000 webů podle Alexy byly nalezeny záznamy o existenci těchto skriptů v 1239 případech a zahrnují weby jako microsoft.com, wordpress.com, adobe.com, hp.com, avg.com, reuters.com. Kompletní seznam si zobrazíte ZDE.

Následující video zobrazuje sledování návštěvy real-time:

A co GDPR?

RV