Hầu hết các giải pháp này dựa vào cookie của bên thứ 3, cookie được đặt trên một tên miền khác với tên miền bạn đang duyệt, cho phép các công ty bao gồm Google và Facebook lấy dấu vân tay của bạn để theo dõi mọi di chuyển của bạn trên nhiều trang web.
Tuy nhiên, nếu bạn đang sử dụng Kaspersky Antivirus, lỗ hổng trong phần mềm bảo mật đã lộ một số nhận dạng duy nhất được liên kết với bạn cho mọi trang web bạn truy cập trong 4 năm qua, điều này có thể cho phép các trang web đó và các dịch vụ bên thứ ba khác theo dõi bạn trên web ngay cả khi bạn đã chặn hoặc xóa cookie của bên thứ ba kịp thời.Lỗ hổng, được xác định là CVE-2019-8286 và được phát hiện bởi nhà nghiên cứu bảo mật độc lập Ronald Eikenberg, nằm trong cách một mô-đun quét URL được tích hợp vào phần mềm chống vi-rút, được gọi là Kaspersky URL Advisor , hoạt động.
Theo mặc định, giải pháp bảo mật của Kaspersky Internet đưa tệp JavaScript được lưu trữ từ xa trực tiếp vào mã HTML của mọi trang web bạn truy cập vào đối với tất cả các trình duyệt web, ngay cả trong chế độ ẩn danh, trong một nỗ lực để kiểm tra xem trang có thuộc danh sách đáng ngờ không và địa chỉ web lừa đảo.
Chà, không có gì ngạc nhiên, vì hầu hết các giải pháp bảo mật Internet đều hoạt động theo cùng một cách để giám sát các trang web về nội dung độc hại.
Tuy nhiên, Eikenberg nhận thấy rằng URL của tệp JavaScript này chứa một chuỗi duy nhất cho mọi người dùng Kaspersky, một loại UUID (Mã định danh duy nhất toàn cầu) có thể dễ dàng bị bắt bởi các trang web, dịch vụ phân tích và quảng cáo của bên thứ ba khác, đặt nó quyền riêng tư của người dùng có nguy cơ.
“Đó là một ý tưởng tồi bởi vì các tập lệnh khác chạy trong ngữ cảnh của tên miền trang web có thể truy cập mã HTML bất cứ lúc nào và do đó, ID ID được tiêm. Điều này có nghĩa là ngôn ngữ đơn giản là bất kỳ trang web nào cũng có thể đọc được ID ID của người dùng và sử dụng sai để theo dõi “, nhà nghiên cứu nói .
“ID vẫn tồn tại và không thay đổi sau vài ngày. Điều này cho thấy rõ ràng rằng ID có thể được gán vĩnh viễn cho một máy tính cụ thể.”
Eikenberg đã báo cáo phát hiện của mình cho Kaspersky, người đã thừa nhận vấn đề và đã vá nó vào tháng trước bằng cách gán giá trị không đổi ( FD126C42-EBFA-4E12-B309-BB3FDD723AC1 ) cho tất cả người dùng thay vì sử dụng UUID trong URL JavaScript.
“Kaspersky đã cố định một vấn đề an ninh (CVE-2019-8286) trong các sản phẩm của nó có khả năng có thể thỏa hiệp sự riêng tư của người dùng bằng cách sử dụng id sản phẩm độc đáo đó là truy cập cho bên thứ ba”, công ty cho biết trong mình tư vấn .
“Vấn đề này được phân loại là tiết lộ dữ liệu người dùng. Kẻ tấn công phải chuẩn bị và triển khai một tập lệnh độc hại trên các máy chủ web từ đó anh ta sẽ theo dõi người dùng.”
Tuy nhiên, tính năng Kaspersky URL Advisor vẫn cho phép các trang web và dịch vụ của bên thứ ba tìm hiểu xem khách truy cập có cài đặt phần mềm Kaspersky trên hệ thống của mình hay không, mà nhà nghiên cứu tin rằng có thể bị lạm dụng bởi những kẻ lừa đảo và tội phạm mạng một cách gián tiếp.
“Kẻ tấn công có thể sử dụng thông tin này để phân phối lại dịch hại phù hợp với phần mềm bảo vệ hoặc chuyển hướng nó đến một trang lừa đảo phù hợp, với khẩu hiệu: Giấy phép Kaspersky của bạn đã hết hạn. Vui lòng nhập số thẻ tín dụng của bạn để gia hạn đăng ký”, Eikenberg cảnh báo.
Các phiên bản cập nhật của các sản phẩm Kaspersky Antivirus, Internet Security, Total Security, Free Antivirus và Small Office Security đã được gửi tới người dùng bị ảnh hưởng.
Tuy nhiên, người dùng muốn tắt tính năng theo dõi này hoàn toàn có thể vô hiệu hóa thủ công tính năng Trình cố vấn URL khỏi cài đặt → bổ sung → mạng → bỏ chọn hộp xử lý lưu lượng truy cập, như trong ảnh chụp màn hình ở trên.