چرا "بنفش شدن لینک‌ها" خطرناک است

در آوریل، نسخه ۱۳۶ مرورگر گوگل کروم سرانجام به مشکلی امنیتی رسیدگی کرد که از سال ۲۰۰۲ شناخته شده بود (مشکلی که، در ضمن، در تمام مرورگرهای اصلی دیگر نیز وجود داشت). این خبر بدی برای بازاریابان بی‌وجدان بود که بیش از ۱۵ سال از این ضعف سوءاستفاده می‌کردند. شاید از این توصیف تهدیدآمیز تعجب کنید اگر بفهمید که این تهدید درواقع یکی از امکانات آشنا و بی‌ضرر به نظر می‌رسد: لینک‌هایی که مرورگر شما پس از بازدید به رنگ دیگری نمایش می‌دهد.

از آسمان آبی تا باران بنفش

تغییر رنگ لینک‌ها پس از بازدید (به‌صورت پیش‌فرض از آبی به بنفش) نخستین‌بار ۳۲ سال پیش در مرورگر NCSA Mosaic معرفی شد. این ویژگی کاربرپسند در دهه ۱۹۹۰ به‌سرعت توسط تقریباً تمام مرورگرها پذیرفته شد و بعداً به استانداردی در زبان CSS (Cascading Style Sheets) تبدیل شد. امروزه، این بازآرایی رنگ به‌طور پیش‌فرض در همه مرورگرهای محبوب وجود دارد.

اما از همان سال ۲۰۰۲، پژوهشگران هشدار دادند که این ویژگی می‌تواند مورد سوءاستفاده قرار گیرد: کافی است صدها یا هزاران لینک نامرئی در یک صفحه قرار داده شود و با استفاده از JavaScript بررسی کرد که مرورگر کدام‌یک را به‌عنوان «بازدیدشده» تشخیص می‌دهد. به این ترتیب، یک سایت خرابکار می‌تواند بخشی از تاریخچه مرور شما را فاش کند.

در سال ۲۰۱۰، پژوهشگران دریافتند که این تکنیک واقعاً در برخی سایت‌های بزرگ برای جاسوسی از بازدیدکنندگان استفاده می‌شد — از جمله سایت‌هایی مثل YouPorn، TwinCities و ۴۸۰ سایت محبوب دیگر. همچنین مشخص شد که پلتفرم‌هایی مثل Tealium و Beencounter خدمات استراق تاریخچه مرور را ارائه می‌دادند، و شرکت تبلیغاتی Interclick نیز از این فناوری برای تحلیل استفاده می‌کرد و حتی با شکایت قانونی مواجه شد. با اینکه در نهایت در دادگاه پیروز شد، مرورگرهای اصلی کد خود را تغییر دادند تا دیگر امکان تشخیص لینک‌های بازدیدشده وجود نداشته باشد.

اما پیشرفت فناوری‌های وب، مسیرهای جدیدی برای سرک کشیدن به تاریخچه مرور باز کرد. مطالعه‌ای در سال ۲۰۱۸ چهار روش جدید برای بررسی وضعیت لینک‌ها معرفی کرد — که دو مورد از آن‌ها تقریباً تمام مرورگرها به‌جز مرورگر Tor را تحت تأثیر قرار می‌داد. یکی از این آسیب‌پذیری‌ها CVE-2018-6137 امکان بررسی وضعیت لینک‌ها را با سرعت ۳۰۰۰ لینک در ثانیه فراهم می‌کرد. حملات جدیدتر و پیشرفته‌تری برای استخراج تاریخچه مرور، همچنان در حال ظهور هستند.

چرا سرقت تاریخچه مرور خطرناک است

افشای حتی بخشی از تاریخچه مرور می‌تواند تهدیدهای مختلفی به همراه داشته باشد:

زندگی نه‌چندان خصوصی: اگر کسی بداند شما به چه سایت‌هایی سر زده‌اید می‌تواند از این اطلاعات علیه شما استفاده کند. ممکن است اقدام به باج‌خواهی، ایجاد صفحات فریبنده (مثل خیریه جعلی یا داروی معجزه‌آسا) کند.

بررسی‌های هدفمند: سایتی که تاریخچه را بررسی می‌کند می‌تواند مثلاً تمام بانک‌های بزرگ را چک کند تا بفهمد شما از کدام بانک استفاده می‌کنید. این اطلاعات برای مجرمان سایبری (برای ساخت صفحات جعلی) و حتی شرکت‌های رقیب مفید است.

پروفایل‌سازی و شناسایی هویت: شرکت‌های تبلیغاتی و تحلیلی از کوکی‌ها و اثر انگشت مرورگر برای ردیابی شما استفاده می‌کنند. تاریخچه مرور می‌تواند همانند یک اثر انگشت دقیق عمل کند — به‌خصوص اگر با فناوری‌های دیگر ترکیب شود. اگر سایتی بتواند ببیند شما چه سایت‌هایی را و چه زمانی بازدید کرده‌اید، عملاً مانند یک «سوپر کوکی» عمل می‌کند.

چطور از سرقت تاریخچه مرور جلوگیری کنیم

در سال ۲۰۱۰، نخستین تدابیر محافظتی در موتورهای مرورگر پیاده‌سازی شد. این تدابیر از سوءاستفاده‌های ابتدایی برای خواندن وضعیت لینک‌ها جلوگیری می‌کردند.

تقریباً در همان زمان، نسخه ۳.۵ فایرفاکس امکان غیرفعال‌سازی کامل تغییر رنگ لینک‌های بازدیدشده را معرفی کرد. در مرورگر Tor که مبتنی بر فایرفاکس است، این گزینه به‌طور پیش‌فرض فعال و ذخیره تاریخچه مرور غیرفعال است. این تدابیر دفاعی قدرتمند، ولی به قیمت کاهش راحتی کاربر انجام می‌شود.

اما مگر اینکه بخواهید بخشی از راحتی را فدای امنیت کنید، همچنان حملات پیچیده می‌توانند تاریخچه مرور شما را شناسایی کنند.

گوگل اخیراً تلاش‌هایی برای تغییر اساسی این وضعیت آغاز کرده است: از نسخه ۱۳۶ به بعد، کروم ویژگی Visited Link Partitioning را به‌طور پیش‌فرض فعال کرده. به زبان ساده، فقط اگر لینکی از همان سایت فعلی کلیک شده باشد، رنگش تغییر می‌کند؛ و یک سایت فقط می‌تواند ببیند کاربر لینک‌هایی را که از همان سایت بوده کلیک کرده یا نه.

پایگاه داده لینک‌های بازدیدشده برای هر دامنه جداگانه نگهداری می‌شود. به‌عنوان مثال، فرض کنید سایت bank.com یک ویجت از banksupport.com دارد و این ویجت لینکی به centralbank.com دارد. اگر شما روی آن لینک کلیک کنید، تنها در همین ویجت و روی همین سایت به‌عنوان بازدیدشده علامت‌گذاری می‌شود. اگر همان ویجت banksupport.com در سایت دیگری ظاهر شود، لینک به centralbank.com همچنان به‌عنوان بازنشده نمایش داده می‌شود. توسعه‌دهندگان کروم آن‌قدر به این روش اطمینان دارند که حتی قصد دارند تدابیر سال ۲۰۱۰ را غیرفعال کنند.

کاربران چه کار کنند؟

اگر از کروم استفاده نمی‌کنید (که خود مشکلات حریم خصوصی دیگری هم دارد)، می‌توانید اقدامات ساده زیر را انجام دهید:

مرورگر خود را مرتب به‌روز کنید تا در برابر آسیب‌پذیری‌های جدید محافظت شوید.

در صورتی که نمی‌خواهید کسی بداند به چه سایت‌هایی سر زده‌اید، از حالت ناشناس یا Private Browsing استفاده کنید — اما توجه داشته باشید که این حالت همه‌چیز را پنهان نمی‌کند.

هر چند وقت یک‌بار، کوکی‌ها و تاریخچه مرور را پاک کنید.

در تنظیمات مرورگر، تغییر رنگ لینک‌های بازدیدشده را غیرفعال کنید.

از ابزارهای مسدودکننده ردیاب و جاسوس‌افزار استفاده کنید، مانند حالت مرور خصوصی در Kaspersky Premium یا افزونه‌های مخصوص مرورگر.