Мы раскрыли новый метод отслеживания, используемый компаниями Meta и Яндекс, который потенциально затрагивает миллиарды пользователей Android. Мы обнаружили, что нативные приложения Android — включая Facebook, Instagram и несколько приложений Яндекса, таких как Карты и Браузер — незаметно слушают определенные локальные порты в целях отслеживания.
Эти нативные приложения Android получают метаданные браузеров, куки и команды от скриптов Meta Pixel и Яндекс.Метрики, встроенных на тысячи веб-сайтов. Эти скрипты загружаются в мобильных браузерах пользователей и незаметно связываются с нативными приложениями, работающими на том же устройстве, через локальные сокеты (localhost). Так как нативные приложения программно получают доступ к идентификаторам устройства, таким как
рекламный идентификатор Android (AAID), или обрабатывают идентификацию пользователя, как в случае приложений Meta, этот метод позволяет этим организациям связывать сессии мобильного браузера и веб-куки с личностью пользователя, тем самым деанонимизируя посетителей сайтов, на которых размещены их скрипты.
Этот способ передачи идентификаторов из браузера в приложение обходит типичные средства защиты приватности, такие как очистка куки, режим инкогнито и контроль разрешений Android. Более того, он открывает возможность для потенциально вредоносных приложений подслушивать веб-активность пользователей.
Как это работает?
Хотя существуют тонкие различия в том, как Meta и Яндекс связывают веб- и мобильные контексты и идентификаторы, по сути обе компании злоупотребляют неконтроллируемым доступом к localhost-сокетам. Операционная система Android позволяет любому установленному приложению с разрешением INTERNET открывать прослушивающий сокет на интерфейсе loopback (127.0.0.1). Браузеры, работающие на том же устройстве, также имеют доступ к этому интерфейсу без согласия пользователя или вмешательства платформы. Это позволяет JavaScript-коду, внедрённому в веб-страницы, взаимодействовать с нативными Android-приложениями и передавать идентификаторы и информацию о действиях пользователя, соединяя эфемерные веб-идентификаторы с долгоживущими идентификаторами мобильных приложений с помощью стандартных веб-API.
news.zerkalo.io
