Cookies疑云牵出隐私争论 网易否认第三方植入代码

 中国邮箱网  0条评论  3660次浏览  2013年03月21日 星期四 18:54

分享到: 更多
新闻晚报 作者:秦川

网易内部调查结果:第三方难窥用户邮件

Cookies,这个此前鲜少被公众视野所关注的网络术语,究竟是安分守己的“小甜饼”,还是帮助窃密“臭虫”繁殖的温床?虽然3·15晚会早已落幕,但其所遗留的疑云,正将一场隐私争论推向高峰。

昨天,记者从网易内部独家取得的一份呈送通管局的报告显示,尽管在网易的广告销售中不可避免会涉及到与第三方的合作,但其负责人否认了后者能从网易核心数据库中获取用户信息的可能。

由Cookies引发的隐私担忧将如何收尾,大数据的商业变现尺度又该如何规范?来自搜索引擎、SNS、电商业内的多位高管对记者表示,现阶段的尝试并不违法违规。

小甜饼还是洪水猛兽?

央视在今年3·15晚会上曝光称,网易邮箱默认第三方营销机构对其用户Cookies的抓取,后者从中获取大量隐私,甚至邮件内容也都能一览无遗,以便更精准地投放广告。

Cookies究竟是什么?大多数人可能只熟悉它 “小甜饼”的翻译。事实上,Cookies是一项基础网络技术,也是一项标准协议规范,使用时间已有十几年。目前大部分互联网服务都依赖于Cookies技术,比如邮箱、微博、社交服务的登陆,以及电商网站购物等等。

1993年时,Cookie的诞生就是出于网站可以快速的识别用户身份,提高网民的上网效率,并沿用至今。比如在淘宝将商品加入购物车后,即使你关掉窗口点进另一个商品页面,之前购物车里的宝贝也不会消失;或是在某网站看了几篇新闻后,还会看到网站给你推荐的“猜你喜欢”内容。

“如果用户还是认为Cookies是洪水猛兽,用户信息的泄露或售卖应该归咎于它,那真的误会了。 ”Opera欧朋浏览器CEO宋麟称,作为一项技术本身,Cookies只能记录用户提供给特定网站的简单信息,经过严格加密;而且只有用户提交给的那个特定网站才能访问,其他任何人均看不到。比如用户在淘宝的购物信息,是绝对无法被京东商城读取的。

截至昨天,已有多位IT业者公开表示出对Cookies的无罪力挺,甚至就此话题进行了长篇累牍的辩论。“技术本身不应承担责任,我们需要的是通过明确的立法来规范非法滥用技术的行为。 ”宋麟的观点,或许代表了目前较为主流的意见。

网络臭虫的温床隐忧

Cookies的初衷或许是安全无害的,但在错综复杂的互联网产业链中,它能否独善其身吗?

“阑尾是个颇有争议的人体器官,当它正常的时候,可能并不引人注意。可是当一些致病的情况出现,阑尾炎将会给人体带来巨大的痛苦。 ”360首席隐私官谭晓声认为,这和Cookies在未被用户知情下被“网络臭虫”采集利用的情况非常相似。

在安全行业看来,Cookies中保存的用户名、密码等个人敏感信息由于经过加密,的确很难将其反向破解。 “但这并不意味着绝对安全。”谭晓声说,黑客可通过构造一个有XSS (跨站脚本攻击)漏洞的网页,然后利用恶意脚本欺骗目标服务器,就可以直接盗取网站管理员的网站后台登陆Cookie,最后控制整个网站。

谭晓声坦言,Cookies会被一些有商业企图的机构在用户并不知情的情况下,采集并加以商业运作,这便是业内所称的“网络臭虫”。

说到网络臭虫,就不能不介绍它的工作原理。“某些公司会在用户常访问的网页上放个1像素大小的图片,肉眼很难察觉。它通过获取Cookies来获知用户的浏览习惯,看似简单粗暴,其实是在跨站跟踪。”谭晓声说,在统计分析上述个人信息后,一些营销公司就可以向用户精准投放广告,或者再向其他需要这些个人信息的公司二次出售牟利。

网易否认第三方植入代码

出于众多内外原因,网易在遭央视曝光后只发了两份短短的声明。对于“用户邮件内容可随意偷窥”一说,也始终没有拿出过硬的证据反驳,近将其归咎为销售人员的夸大其词。

但记者昨天从网易内部获悉,目前通信管理局等多个部委已要求其就此事出具说明,而初阶段的调查报告也已完成。

记者获取的上述报告显示,根据网易内部调查人员所述,其邮箱Cookies在设计时就不允许跨域访问,并且要求在使用Cookie时尽量设置在子域或子路径,以避免Cookie读取权限扩散。同时,对于Cookie有效时长和字节数的限制、设置备案和审批,以及用户信息安全校验,均保持在可控的合规范围内。

急待网易自证清白的是,其公司内部是否存在对第三方安插代码“睁一只眼、闭一只眼”的问题?而其内部报告强调,虽然网易“为用户提供不计其数的网络互动活动”,但通过Cook-ie记录的信息部包括身份证号、银行卡账号等隐私数据。同时,向第三方开放的行为坚绝不被允许。

“尽管在网易的广告销售中不可避免会涉及到与第三方公司的合作,但第三方公司绝不可能收集到网易站内的用户信息的,包括用户在注册使用某些产品时提交的年龄、收入等信息。这些信息都密文存储在公司的核心数据库中,第三方公司是不可能访问到的,且即使访问到也只能得到密文,无法获取用户信息。 ”网易内部人士称。

大数据和隐私的边界模糊?

事实上,基于Cookies的精准营销行为已在我们身边无所不在。从淘宝、百度的广告联盟,到Gmail等邮箱的智能广告推送,在企业加速大数据商业化变现的同时,隐私的尺度也变得愈发模糊。

“我之前在淘宝上搜了下内衣,结果第二天在办公室用笔记本电脑时,很多网站页面广告都推送的是各种性感内衣图片,让我非常尴尬。 ”白领Ann告诉记者,她很纳闷,为何自己在搜索引擎或购物网站搜过的商品,很快就会被其他网站所知晓,并“贴心”地打出一大堆类似的广告。

“现在的广告联盟代码很智能化,在你打开网站的同时会检测你的Cookies信息,比如浏览过什么网站、搜索过什么商品,然后自动匹配、调用对应广告,实现精准定位。 ”一位电商人士告诉记者,虽然他认为这对广告商和用户都是有利的,但的确还是有许多用户无法接受这种行为。“如果实在讨厌,建议你定期清除一下Cookies。 ”

谭晓声直接举例称,现在一些第三方广告联盟的代码使用范围很广。这就造成用户在A网站搜索了一个关键字后,当他继续访问B网站,由于B网站也使用了同一家的第三方广告代码,就可以直接从Cookie中获取用户在A网站搜索行为,进而展示更精准的推广广告。 “比如搜索‘糖尿病’等医疗关键词,再访问另一家网站,可能页面会立刻出现糖尿病治疗广告,这无疑是对用户隐私的泄露。 ”

某搜索引擎的销售人员曾如此向广告主自我推销:“我们为每一个网民都建立了个人档案卡,存储曾经的历史搜索行为。我们知道用户曾经在哪天哪秒想得到什么,继而可以分析出用户的生活方式,这就是个不断更新的消费者欲求档案库! ”

搜狗CEO王小川此前曾向记者透露,搜狗希望发布一套基于数据挖掘的“探索引擎”系统。譬如当网民在网上购物时,浏览器可自动通过浮动弹框的形式,将其它网站的价格、用户评价、优惠券等相关信息主动推送。

可令一些用户烦躁的是,如果我并不想让浏览器的后台服务器记录我买过什么,这是否侵犯了个人隐私?王小川的回答很豪迈:“只要你用它 (搜索引擎)的服务就要曝露隐私,不可避免,除非你不用。我们也不会侵犯用户隐私,有法律管着。 ”

而百度CTO王劲则向记者表示,用户不必反应过激。 “虽然百度会分析用户的搜索关键词、搜索时间、频率等等信息,但我们只根据全网的宏观数据分析出结论,不针对个人。 ”

对于将用户数据用作商业变现的敏感话题,腾讯网总编辑陈菊红给出了和百度类似的答案。“每个用户在网上会留下很多痕迹,但只有你显性地表示喜欢,我们才会搜集,且上述信息绝不会透露给第三方广告主。此外,当下技术很难对单个用户进行分析,更多的是群体性地归纳和提炼。”她此前接受采访时解释称。

目前,国际互联网联盟已经提出了“禁止跟踪”标准,禁止网站采用跨站跟踪和Cookie跟踪等手段收集用户上网行为数据。都由于不具有法律效力,这仍需各网站自觉遵守,而目前IE10、360等浏览器也已推出了“禁止跟踪”功能供用户选择。

“到底是Cookies本身是洪水猛兽,还是将滥用Cookies技术的厂商才是洪水猛兽,我想大家都有答案。 ”宋麟说。

文章来源:凤凰财经

标签:大数据用户隐私

我的评论:

请  后发表评论。