Autor Zpráva
velkej
Profil
Jaká rizika z hlediska bezpečnosti hrozí při umístění cizího Javascriptu na webu? Zajímá mě to v souvislosti s umístěním reklamy. Mám na webech Google AdSense .. a Googlu věřím. Co kdyby člověk chtěl zkusit jiný reklamní systém? Nějaký, u kterého by to s tou důvěrou nebylo tak samozřejmé?

Napadá mě, že by tím dotyčný reklamní systém získal přístup ke cookies - ke všem, včetně session ID. K IP adresám uživatelů, HTTP_REFERER - odkud uživatelé přišli. A pak samozřejmě také spoustu dalších informací, které asi nejsou nijak citlivé jako používané prohlížeče, operační systémy, jazyk, rozlišení monitoru, apod.

Mohl by návštěvníka přesměrovávat na jiný web. Mohl by měnit obsah stránek. Mohl by měnit obsah cookies - např. odhlašovat tak zalogované uživatele.

Mohl by odchytávat stisknuté klávesy? Pak by mohl i zjistit hesla a uživatelská jména, kterými se uživatel zalogovává.

Mohl by změnit obsah stránky - u formuláře pro zalogování uživatele změnit cílovou URL adresu "action" a tím získávat login / heslo.

Mohl by spouštět na webu volat PHP scripty s oprávněními zalogovaného uživatele - tedy např. vkládat SPAM, něco mazat, atd.

Je to tak? Pokud ano, co udělat pro to, aby se člověk všem těmto rizikům vyhnul?
Keeehi
Profil
Všem se nevyhneš. Spíš bych řekl že ničemu. Jediné co vím co jde zabezpečit jsou cookies. Tam se dá zakázat, aby k nim měl javascript přístup.
Chamurappi
Profil
Reaguji na velkeje:
Kontrolu nad svým webem sdílíš se všemi, od koho linkuješ externí <script>.

Mám na webech Google AdSense .. a Googlu věřím.
Proč mu věříš? Přesnější cílení reklamy se bez narušení soukromí návštěvníka neobejde (to jsou ty IP adresy, refereři atd.).

Co kdyby člověk chtěl zkusit jiný reklamní systém?
Pokud bys důvěřoval samotnému reklamnímu systému, že získanou moc využívá jen k lepšímu zacílení, měl bys po něm chtít, aby samotné jednotlivé reklamy vždy izoloval od zbytku stránky. K tomu je ideální <iframe>, s bannerem umístěným na jiné doméně. Sice pořád hrozí, že se k uživateli v reklamním kódu dostane třeba vir využívající díru ve flashi (zrovna nedávno jsem řešil ransomware nainstalovaný skrz reklamní plochu na webu českého Tiscali), ale tebou zmiňované JS hrozby jsou ze hry.

Mimochodem, i kdybys odboural všechny technické bezpečností hrozby, pořád ti může nevhodná reklama dost ublížit. Nedávno jsem na jednom seriózním webu potkal AdSense banner, který se mě sdělením „Máte 4 viry!“ snažil přesvědčit, abych si do své windowsové Nokie nainstaloval jakýsi androidový antivir (spíš malware). Zejména dražební reklamní systémy se můžou velmi ošklivě vymknout kontrole.

Ve finále tedy stejně záleží na tom, jak moc můžeš reklamnímu systému věřit – jednak, že tě úmyslně nezradí, jednak, že má pod kontrolou své inzerenty a že ví, co vlastně do tvé stránky sype. Obrazně řečeno: nevylepujete společně plakát na zeď, ale jdete spolu do postele :-)
velkej
Profil
Proč člověk může (či musí chtě nechtě) Googlu věřit? Protože půlka světa má mobil s Androidem třeba? Proč Ty třeba věříš Microsoftu? Svěřuješ mu veškerá svá citlivá data?

Vždyť ať Google reklamu cílí co nejlépe, to je dobře pro všechny strany - pro Google, pro provozovatele webu, ale i pro uživatele, který nevidí nesmyslné reklamy, které ho nezajímají, ale reklamy, které pro něj můžou bejt třeba i užitečné. A že k tomu používá referery, lokalizaci přes IP adresy, kontextové reklamy vzhledem k obsahu webu, remarketing, apod.? Čemu to vadí. Můj celý dotaz / zamyšlení bylo míněno hlavně tak, že či zkusit jiný reklamní systém, ale jaké to má bezpečnostní rizika, která si podle mě kolikrát lidé ani nějak neuvědomují. Aneb napsal jsi to zcela přesně - "Kontrolu nad svým webem sdílíš se všemi, od koho linkuješ externí <script>". No otázka jak poznat, komu můžeš ještě důvěřovat? Asi nikdy nezkoušet malé reklamní systémy, o kterých není moc známo. Věřit se dá určitě Google AdSense a Seznam Sklik.

Ta reklama "Máte 4 viry!" je fakt příšerná, neseriózní. Zobrazuje se i na mých webech a na spoustě jiných, jinak seriozních webů. Na to, jak si Google přísně reklamní systém hlídá, tak tohle mu asi nějak uniklo. Až to zas někde uvidím, tak tam vyklikám ten formlář pro nahlášení nevhodné reklamy.

Jak je to třeba s Flashem? Umístit k sobě na web cizí flash. Jaká to může mít rizika?
Taurus
Profil
velkej:
Proč člověk může (či musí chtě nechtě) Googlu věřit? Protože půlka světa má mobil s Androidem třeba?

To, že aplikacím v Androidu povoluju přístupy neznamená, že jim věřím, ale že jsem ochotný trpět jejich drzost :-) a vlezlost. Což není u všech, např. u aplikace Facebook messengeru. Stejně tak Google a Androidu zrovna moc nevěřím, ale je to to pro mě nejlepší z trojice iPhone, holá řiť, Android. A je mi jedno, co půlka světa…
Chamurappi
Profil
Reaguji na velkeje:
Proč člověk může (či musí chtě nechtě) Googlu věřit? Protože půlka světa má mobil s Androidem třeba?
Část Googlu odpovědná za reklamní systém bude mít pramálo společného s částí, která se stará o Android.
Zřejmě sis moji otázku vyložil jinak, než byla myšlena. Zmínil jsi, že reklamní systém má přístup k určitým informacím o návštěvníkovi – uvedl jsi to jako riziko, ale z tohoto rizika de facto těží AdSense a tomu věříš, u něj ti to nevadí. Z tvé reakce soudím, že zrovna toto by ti asi nevadilo u žádného…?

Proč Ty třeba věříš Microsoftu? Svěřuješ mu veškerá svá citlivá data?
Nesvěřuji. Kdybych se rozhodoval, jestli si na web nasadím reklamní systém od MS, nejspíš by nehrálo žádnou roli, že stejná firma vyrábí i Windows, Office, telefony, klávesnice, myši…

A že k tomu používá referery, lokalizaci přes IP adresy, kontextové reklamy vzhledem k obsahu webu, remarketing, apod.? Čemu to vadí.
Pokud by se to zahnalo do extrému, tak různí návštěvníci jsou různě hodnotní. Určitá skupina se potom může jevit jako (momentálně) bezcenná, nevyplácí se pro ni tvořit obsah. Přestane fungovat ten hezký princip, že se tlupa lidí zadarmo sveze s jedním utrácejícím. A ta hodnotná část návštěvníků kolem obsahu jen proběhne, protože je reklama vždy účinně odláká pryč.
Je to trochu paradox, ale myslím, že neznalost cílové skupiny je pro zdravé přežití webu živeného reklamou stejně důležitá, jako její znalost :-)

Asi nikdy nezkoušet malé reklamní systémy, o kterých není moc známo.
Nezavrhoval bych je. Pro velké reklamní systémy jsi jen jedním z myriád uživatelů a budou s tebou zacházet podle svých pravidel, nejsi pro ně rovnocenný partner. Můžeš naříkat, že ti AdSense servíruje banner „Máte 4 viry!“, Google ti na to řekne „no tak promiň, to se stane“, ale bude ti ho servírovat klidně dál. U menšího reklamního systému bys patrně měl silnější hlas a mohl by sis toho víc vydupat.
Také si můžeš domlouvat inzerci s konkrétními inzerenty sám, úplně bez reklamního systému – tak to třeba dělá Yuhů na Jak psát web.

Jak je to třeba s Flashem? Umístit k sobě na web cizí flash. Jaká to může mít rizika?
Flash má parametr AllowScriptAccess, kterým můžeš určit, jestli mu dovolíš spouštět JS, možné hodnoty jsou always, sameDomain (výchozí) a never. Pokud mu skripty dovolíš spouštět, má opět kontrolu nad vším, v opačném případě je na tom cca stejně, jako <iframe> z jiné domény.
Z hlediska reklam ovšem flash letos definitivně umřel, jen přibližně třetině českých brouzdalů fungují flashové bannery bez potíží. Zbytek má buď mobil, nebo starší verzi flashe bloknutou prohlížečem, nebo Chrome, který flashe paralyzuje.

Vaše odpověď

Mohlo by se hodit

 

Prosím používejte diakritiku a interpunkci.

Ochrana proti spamu. Napište prosím číslo dvě-sta čtyřicet-sedm: