Социальные сети: могут ли роботы нарушать конфиденциальность пользователей?

Недавние новости в международных СМИ были посвящены многочисленным случаям нарушения интернет неприкосновенности. Данная ситуация заслуживает особого внимания и изучения. Сотрудники High-Tech Bridge решили провести технически простой эксперимент, чтобы проанализировать, отношение к конфиденциальной информацией пользователей 50 крупнейших социальных сетей, веб-сервисов и бесплатных почтовых систем. Данный эксперимент сможет произвести при желании любой пользователей, поэтому специалисты High-Tech Bridge старались провести тестирование максимально объективно.

Суть эксперимента предельна проста. Использовался выделенный веб-сервер, и создавались тайные и абсолютно непредсказуемые URL-адреса для каждого тестируемого сервиса, например:

http://www.our-domain-for-test.com/secret/18354832319/sgheAsZaLq/

Затем с помощью  стандартной функциональности популярных веб-сервисов и социальных сетей эксперты High-Tech Bridge передавали данные тайные адреса и проводили мониторинг входящих HTTP-запросов на выделенный сервер (чтобы узнать какие именно сервисы перешли по конфиденциальной ссылке, которая не была предназначена для посещения кем-либо).

За 10 дней проведения эксперимента только 6 сервисов из 50 злоупотребили пользовательской конфиденциальностью. Как бы то ни было, среди этих 6 – крупнейшие социальные сети: Facebook, Twitter, Google и Formspring. Среди оставшихся 2-ух – сервисы сокращения ссылок bit.ly и goo.gl.

Что касается сервисов сокращения ссылок, такое поведение может быть связанно со стандартными функциями, но это утверждение абсолютно неверно для социальных сетей Facebook и Twitter. Принимая во внимание, что некоторые сервисы для своей работы используют роботы (например, для выявления вредоносных ссылок или спама) был создан файл robots.txt, который запрещал ботам индексировать ссылку, ограничивая тем самым доступ на выделенный сервер и контент на нем. Только Twitter последовал созданному правилу, все другие социальные сети просто проигнорировали его, все равно перейдя по конфиденциальной ссылке.

Ниже представлена таблица результатов эксперимента:

Ниже показаны HTTP запросы, которые обращались к конфиденциальной ссылке:

Bit.ly:
IP: 50.17.69.56
User-Agent: bitlybot

Facebook:
IP: 173.252.112.114
User-Agent: facebookexternalhit/1.1 (+http://www.facebook.com/externalhit_uatext.php)

Formspring:
IP: 54.226.58.107
User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.31 (KHTML, like Gecko) Chrome/26.0.1410.64 Safari/537.31

goo.gl:
IP: 66.249.81.112
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.4 (KHTML, like Gecko; Google Web Preview) Chrome/22.0.1229 Safari/537.4

Google+:
IP: 66.249.81.112
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:6.0) Gecko/20110814 Firefox/6.0 Google (+https://developers.google.com/+/web/snippet/)

Twitter:
IP: 199.59.148.211
User-Agent: Twitterbot/1.0

Марсель Низамутдинов, главный научный сотрудник High-Tech Bridge так прокомментировал данную ситуацию: "Результаты эксперимента  вызывают особый интерес. 4 социальные сети, уличенных в злоупотреблении пользовательской конфиденциальностью оправдали свои действия «автоматической проверкой». Как бы то ни было, технически очень сложно понять, что на самом деле происходит и как используется информация, полученная с тайных адресов. В настоящее время огромное количество веб-приложений пренебрегают аутентификацией и полагаются на временные и непредсказуемые ссылки для сокрытия контента. Когда пользователи передают такие ссылки через социальные сети, они не могут быть уверены в неприкосновенности передаваемой информации. К сожалению, сейчас нет способа  сохранить конфиденциальность подобных ссылок и контента при передаче с помощью социальных сетей (при отсутствии аутентификации)".

По материалам пресс-релиза High-Tech Bridge