Xakep #305. Многошаговые SQL-инъекции
Bitcoin-транзакции помогают сохранять анонимность, но интернет по природе своей далеко не анонимен. Казалось бы, это очевидная истина, однако специалисты Принстонского университета первыми решили подробно изучить данный вопрос и опубликовали подробный доклад, посвященный тому, как принимающие биткоины к оплате сайты вредят анонимности собственных пользователей.
Схема выше наглядно иллюстрирует, что нужно совсем немного данных, чтобы связать пользователя с контрактной транзакцией. Основную проблему в данном случае представляют собой куки различных сайтов. Исследователи утверждают, что отследить пользователя возможно даже в том случае, если он пользуется защитными сервисами наподобие CoinJoin.
Изучив 130 ресурсов, принимающих биткоин к оплате, специалисты установили, что 53 из них «сливают» информацию пользователей 40 различным сторонним организациям. Чаще всего утечка происходит со страницы «Корзины», и она осуществляет умышленно, данные предаются аналитически и рекламным сервисам. Хуже того, ряд сайтов имеют и более серьезные проблемы с безопасностью: разглашают всю информацию о блокчейн-транзакции десяткам различных «трекеров».
Вот только некоторые выводы из отчета экспертов:
- 107 из 130 ресурсов «сливают» на сторону информацию пользователей;
- 31 сайт позволяет сторонним скриптам получать доступ к Bitcoin-адресам пользователей;
- 104 сайта делятся с третьими сторонами информацией, не связанной с BTC;
- 30 ресурсов раскрывают стоимость Bitcoin-транзакции.
