德国电脑杂志c't 本周披露，Winodws版的卡巴斯基（Kaspersky）防毒软体暗藏隐私漏洞 ，可供网站追踪用户行为。 该杂志定期会测试不同的防毒软体产品，一名安装了卡巴斯基防毒软体的编辑Ronald Eikenberg，意外在某个所造访网站的程式码中，看到来自卡巴斯基的JavaScript脚本程 式，检验後发现它是卡巴斯基赋予每台电脑的ID。 於是只要是安装了卡巴斯基的防毒软体，不管是以Firefox、Edge或Opera浏览器造访任何 网站，这些网站都会被注入含有同样ID的JavaScript。而且当Eikenberg以其它安装了卡 巴斯基防毒软体的电脑造访网站时，所呈现的ID便不同。 Eikenberg把它称为Kaspersky ID，意谓着它是由卡巴斯基赋予每一台用户电脑的身分， 只要能读取Kaspersky ID的网站，就能利用该ID来追踪使用者行为，可得知该名使用者是 否曾造访过该站，不管是哪一家浏览器，即使是启用无痕模式，都难逃被追踪，有机会遭 到行销人员或骇客的滥用。 此一隐私漏洞，影响卡巴斯基自2015年秋天发表的所有消费者版本的Windows防毒软体， 从免费版到Kaspersky Internet Security与Total Security，也波及Small Office Security，估计影响数百万名卡巴斯基用户。 卡巴斯基在收到Eikenberg的通知之後，承认此一问题的存在，但指出相关攻击太过复杂 且无利可图，不过Eikenberg却认为这是个严重的漏洞，若骇客或行销人员在4年前漏洞现 身时，就打造一个网站来蒐集Kaspersky ID，现在应已具备强大的监控能力。 总之，卡巴斯基在Eikenberg的督促下分配了CVE-2019-8286编号予该漏洞，并於今年7月 修补。 Eikenberg在卡巴斯基修补之後再度进行测试，发现卡巴斯基把原本每一台电脑都具备的 ID改成产品ID，例如使用特定防毒软体版本的用户，都具备同样的ID，使网站无法再辨识 个别的用户。但Eikenberg觉得这还是有危险性存在，例如骇客就能藉由判断防毒软体版 本来客制化攻击模式，亦再度向卡巴斯基提报漏洞。 不过，使用者也可在卡巴斯基防毒软体的流量处理设定中，关闭「Inject script into web traffic to interact with web pages」功能，即能避免让网站存取相关ID。 原文连结： https://www.ithome.com.tw/news/132471?fbclid=IwAR0je8ZM0p72nqddWPkAs0JGOswbVnx YdVK8mV5Kwby_b9LKjDDDipESoZc 缩网址：https://tinyurl.com/y4lcsxyn --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 114.43.191.10 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1566140479.A.321.html