开源广告拦截工具 uBlock Origin 的开发人员发现了一种导致当前拦截技术无能为力的 web 浏览器追踪机制。虽然该团队的开发人员已经开发出了拦截该追踪器的方法，但仅适用于火狐浏览器，导致 Chrome 以及其它浏览器易受攻击。目前修复方案已向 uBlock Origin 用户公开。

这款“无法被拦截”的追踪器凭借 DNS 查询请求绕过浏览器的防御措施，因此某种形式的域名查询过滤能够阻止这种窥探行为。由于网民拥有的仅仅是浏览器以及普通的老旧内容拦截插件，因此这款追踪器不会被发现。广告和分析网络可用这款追踪器记录用户浏览网络的行为，并悄悄建立用户兴趣资料并密切关注用户访问的网页。

有意思的是，这种结果似乎是各家浏览器和广告技术公司角逐第一方和第三方 cookie的结果。

追踪器发现过程

事情要从本月初GitHub 上的一个issue 说起。以为名叫Aeris 的开发人员表示，法国新闻报纸网站liberation.fr 使用由法国市场营销分析公司 Eulerian 构造的一款追踪器，它“似乎是无法被拦截的”。

造成这种结果的原因是，上述提到的域名似乎是第一方页面元素（和网站发布者域名相关）而不是第三方的页面元素（和被访问网站以外的域名相关）。

苹果和Mozilla 等公司在过去数年内为解决隐私问题，都在各自的浏览器 Safari 和火狐浏览器中引入追踪防护机制，并开始默认拦截由第三方追踪器设置的第三方 cookie。

很多市场人员为了维护自身的追踪和数据收集能力，开始使用 DNS 委派 (DNS delegation) 或 DNS 别名 (DNS aliasing)，即让网站发布人员委派可供第三方分析提供商使用的子域名，并将其通过 CNAME DNS 记录以别名的形式发给外部服务器。该网站及其外部追踪器因此看似是来自同样域名的浏览器且能够运行。

正如Eulerian 公司在网站上所述，“收集行为以广告商的名义开展，而非以第三方的名义开展，广告拦截器或浏览器均无法干扰标签调用。”

但……

另外一家市场营销分析公司 Wizaly 也推广这种技术以绕过苹果的 ITP 2.2 隐私保护。

Adobe 在其网站上指出，数据收集CNAME 记录的其中一个好处在于，它们“允许你追踪浏览器中不接受第三方cookie 的主着陆域名和其它域名之间的访客”。

广告重定向公司Criteo 最近似乎也向客户部署了这种技术，说明该技术将变得更具侵入性。显然 DNS 委托违反了欧洲 GDPR 法规，后者“清楚地规定了‘以用户为中心的追踪’要求获得用户同意，尤其是在第三方服务用途方面更是如此。”

德国汉堡数据保护和信息自由委员会发布声明称，谷歌分析和类似服务只能在获得同意的前提下才能使用。

网络安全和广告欺诈研究员 Augustine Fou 表示，“这个 exploit 已存在多时，现在它的作用变得更大是因为如果你能够伪装成第一方 cookie，那么就能避免遭广告拦截器和主流浏览器如 Chrome、Safari 和火狐浏览器的拦截。”他认为，“这是一个 exploit，而不是‘失误’，因为它是一种使第三方 cookie 伪装成第一方 cookie 违反隐私法规和客户选择的隐藏且故意的行为。这是‘糟糕技术工业园区’保护其黄金河的又一个案例。”

Eulerian 公司尚未就此事置评。

其实早在2014年，法国研究机构Inria 的研究员Lukasz Olejnik 和 Claude Castelluccia 就曾在论文中记录了导致第三方域名变身第一方的 DNS 记录。之后2010年还有其他研究人员 German Gomez、Julian Yalaju、Mario Garcia 和 Chris Hoofnagle 也曾讨论过该技术。

两天前，uBlockOrigin 团队的开发人员Raymond Hill 为火狐浏览器提供了 uBlock Origin v1.24.1b0 的修复方案。火狐浏览器提供解决 DNS 记录主机名的 API，可披露 CNAME 的行为，从而使开发人员能够制定相应的阻止行为。

Hill 表示，“现在已部署 uBO 处理第三方伪装成第一方的问题，前提是得到火狐 browser.dns 的允许。”他指出目前Chrome 浏览器不会修复，因为它并不具有同样的 DNS 解析 API。

另外，Aeris表示，谷歌即将发布的扩展平台 Manifest v3 下的 Chrome 浏览器会使 uBO 崩溃。Hill 是uBO 的创建人，最近证实称问题仍然存在。

即使Chrome 计划实现 DNS 解析 API，谷歌也清楚地表明鉴于广告业务的考虑，希望维持在 web 上追踪和放置 cookie 的能力。

苹果针对Safari 拒绝提供分析数据的问题，提出一个保留隐私的广告点击归因方案，允许64种不同的广告活动标识符，这样广告营销人员可以看到效果。

作为“隐私沙箱”倡议的一部分，谷歌的另外一项提案要求标识符字段能够存储64位数据，而这远远超过整数64。就像电子前沿基金会指出的那样，这使得数字范围可达到18亿五千万，使得广告商能够为其提供的每次广告展示创建唯一的 ID，之后和各个用户进行关联。

原文链接

https://www.theregister.co.uk/2019/11/21/ublock_origin_firefox_unblockable_tracker/

声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。