- 网址有可能会泄漏有关您的重要私密信息。这种情况下怎么办？
泄密网址是什么？
URL是最常见的跟踪信息。
根据页面内容构建URL这种看起来无辜的选择可以使曝光用户的浏览历史记录、地址、健康信息、甚至更敏感的详细个人信息变得更加容易。它们本身就包含敏感信息或可能引导至包含敏感信息的页面。
我们称这种网址为泄密网址。
以下是这类URL的一些例子。
示例＃1：
Website: donate.mozilla.org (Fixed)
在 donate.mozilla.org 上完成付款流程后，您将被重定向到“感谢”页面。
如果您仔细查看下面的屏幕截图中显示的网址，你会发现，它会包含一系列私人信息：如 电子邮件、国家/地区、金额、付款方式。
现在由于此页面加载了来自第三方的一些资源并且 URL 未被清理，所以相同的信息也通过 referrer 与这些第三方共享。
在这个特殊案例的情况下，共有7个第三方共享这些信息。
Mozilla 很快就解决了这些问题，更多细节可以在这里找到。
示例＃2：
Website: trainline.eu, JustFly.com (Last checked: Aug’18)
完成购买火车票/机票的在线操作后，您会收到一封电子邮件，其中包含管理您预订的链接。
大多数情况下，当您点击链接时，会显示预订详细信息 —— 无需输入任何其他详细信息了，如预订代码，用户名/密码。
这意味着该URL本身包含令牌，该令牌对用户是唯一的，以此提供对用户预订的访问。
碰巧这些URL也与第三方共享，⚠️为这些第三方提供高度敏感的数据以访问您的预订。
示例＃3：
Website: foodora.de, grubhub.com (Last checked: Aug’18)
在线订购食品的先决条件之一是输入您希望食品送达的地址。
一些流行的食品配送网站，将送货地址转换为精确的经纬度值，并将其添加到URL。
该URL也与第三方共享，这样就会泄漏用户所在的位置。
要明确的是，不仅仅是上述这些网站遭受此类泄密。
这个问题几乎无处不在 —— 这是一种默认情况，而不是罕见的情况。
泄密网址的风险：
- 网站不小心将敏感信息泄露给了过多的第三方；
- 大多数情况下未经用户同意；
- 更危险的是：大多数网站仍没有意识到这些泄漏。
这些问题难以修复吗？
我理解使用第三方服务来优化和增强数字产品以及增强用户与产品交互的必要性。
但所有者应始终控制其网站以及该网站与第三方服务共享的内容。需要执行此控制来限制用户信息的泄漏。
这并不是一个庞大的任务，只是致力于保护隐私权的基本措施。
例如：
- 私人页面应该有noindex元标记。
- 限制私人页面上存在第三方服务。
- 在具有敏感数据的页面上使用 Referrer-Policy。
- 实施CSP和SRI。目前多数网站都没有启用SRI。
介绍 Local Sheriff
众所周知此类信息泄露对用户和组织来说都是非常危险的，但为什么它仍然是一个广泛存在的问题呢？
存在这些问题的一个重要原因是缺乏安全意识。
作为网站，一个很好的起点是查看哪些信息会被泄露、或检测到泄密URL的存在。
但是，为了查明您维护或访问的网站是否发生了同样的情况，您需要掌握一些基本工具。
我们希望使用以下准则来构建这类工具：
- 易于安装。
- 数据在用户计算机上本地储存。
- 帮助识别公司在互联网上跟踪用户的行为。
- 可搜索泄露给第三方的信息的界面。
鉴于上述指导原则，浏览器扩展似乎是一个合理的选择。在后台安装 Local-Sheriff 之后：
- 使用 WebRequest API，它可以监视第一方和第三方之间的交互。
- 对URL进行第一方和第三方分类。
- WhoTracksMe 数据库副本。映射哪个域属于哪个公司。
- 提供一个界面，您可以搜索您认为属于您的值，并查看哪些网站将其泄露给哪些第三方。例如：姓名、电子邮件、地址、出生日期、cookie等。
重温示例＃1
Website: donate.mozilla.org
用户安装了 Local-Sheriff 并捐赠给 mozilla.org。
单击图标可打开搜索界面。
输入网站 donate.mozilla.org 上使用的 email ID。
可以看出，捐赠时使用的电子邮件地址与~7个第三方共享。
您可以通过安装它来尝试：
- Firefox: https://addons.mozilla.org/de/firefox/addon/local-sheriff/
- Chrome: https://chrome.google.com/webstore/detail/local-sheriff/ckmkiloofgfalfdhcfdllaaacpjjejeg
资源：
- More details: https://www.ghacks.net/2018/08/12/local-sheriff-reveals-if-sites-leak-personal-information-with-third-parties/
- Source Code: https://github.com/cliqz-oss/local-sheriff
- Conferences: Defcon 26 Demo Labs , FOSDEM 2019
- Code: https://github.com/cliqz-oss/local-sheriff
- Chrome store: https://chrome.google.com/webstore/detail/local-sheriff/ckmkiloofgfalfdhcfdllaaacpjjejeg