DevSecOps

27 out, 2017

Sites que aceitam Bitcoin deixam trilha de cookies que desmorona anonimato

Publicidade

Os comércios online compartilhando informações de rastreamento? Isso não é surpresa.

As transações Bitcoin podem ser anônimas, mas na Internet, seus usuários não. De acordo com a pesquisa da Universidade de Princeton, relacionar as duas é trivial na Internet moderna e extremamente rastreada.

De fato, a vinculação de cookies de um usuário para suas transações Bitcoin é muito simples, tão simples que surpreendentemente levou tanto tempo para que um artigo como este fosse publicado.

Os pesquisadores de privacidade Dillon Reisman e Steven Goldfeder de Princeton, Harry Kalodner e Arvind Narayanan, demonstram o quão simples os cookies podem ser vinculados em transações cryptocurrency:

Apenas pequenas quantidades de informações de transações precisam vazar. Elas escrevem para que “Alice” seja associada a suas transações Bitcoin. É possível inferir a identidade dos usuários, mesmo se eles usarem serviços de proteção de privacidade, como o CoinJoin, um protocolo projetado para tornar as transações de Bitcoin mais anônimas. O protocolo tem como objetivo tornar impossível inferir quais entradas e saídas pertencem uns aos outros.

De 130 comércios on-line que aceitam Bitcoin, os pesquisadores dizem que 53 informações de pagamento para 40 vazaram para terceiros. A maioria, “frequentemente a partir das páginas de carrinho de compras”.

“Muitos sites comerciais têm vazamento de informações muito mais graves (e provavelmente não intencionais) que revelam diretamente a transação exata no blockchain para dezenas de rastreadores”.

Dos 130 sites que os pesquisadores verificaram:

  • No total, 107 sites vazaram algum tipo de informação de transação
  • 31 permitiram scripts de terceiros para acessar os endereços Bitcoin dos usuários
  • 104 compartilharam o preço não denominado BTC de uma transação
  • 30 compartilharam o preço de transação em Bitcoin
Information type Without tracking protection With protection
E-mail 32 25
First name 27 20
Last name 25 19
User ID 15 12
Address 13 9
Full name 11 4
Phone 10 4
Company 5 4

Mesmo para alguém que esteja executando uma proteção de rastreamento, existe uma quantidade substancial de informações pessoais que foram adotadas pelos sites examinados no estudo.

Um total de 49 comércios online compartilham informações de identificação dos seus usuários, e 38 compartilham, mesmo que o usuário tente pará-los com proteção de rastreamento.

Os usuários têm pouca proteção contra tudo isso, diz o documento: “o perigo é criado pelo rastreamento generalizado, e tem um custo baixo para os comerciantes dando aos usuários uma ilusão de melhor privacidade”.