Google laat websites via first-party cookies gerichte advertenties tonen
Google laat websites vanaf volgende maand first-party cookies gebruiken om gerichte advertenties aan hun bezoekers te tonen. Voorheen plaatsten webtrackers en advertentiebedrijven die als derde partij actief op een website zijn van een ander domein cookies bij gebruikers. Aangezien deze cookies van een ander domein dan het bezochte domein afkomstig zijn worden dit third-party cookies genoemd.
Via third-party cookies is het eenvoudig om gebruikers over het web te volgen, omdat de derde partij die via allerlei sites kan plaatsen en zo kan zien welke websites een gebruiker bezoekt. Vanwege de privacygevolgen hebben verschillende browsers inmiddels besloten om third-party cookies te blokkeren. Het is echter ook mogelijk om via first-party cookies gebruikers te volgen. Bijvoorbeeld wanneer websites voor een trackingbedrijf een subdomein aanmaken. Ook wanneer gebruikers op een website inloggen is het mogelijk om die via een first-party cookie op de betreffende site uitgebreid te volgen, aldus Google.
Volgens het techbedrijf beschikken niet alle websites over deze mogelijkheden om bezoekers op deze manier gericht te benaderen. Vanaf volgende maand is het mogelijk om first-party cookies van Google Ad Manager en AdSense ook voor gerichte reclame te gebruiken. Dit moet het eenvoudiger voor allerlei soorten websites maken om op basis van first-party cookies gepersonaliseerde advertenties te tonen.
Via Google Ad Manager en AdSense kunnen websites advertenties op hun eigen site tonen. Websites moeten straks wel toestaan dat Google van first-party cookies gebruik mag maken voor het tonen van advertenties. Vervolgens kijkt Google naar eerder vertoond gedrag van gebruikers op de betreffende website om de advertenties op de bezoek af te stemmen. Op deze manier moeten websites ook publiek kunnen bereiken in browsers waar third-party cookies niet beschikbaar zijn, aldus het techbedrijf.
Google stelt dat de first-party cookies van websites niet zijn te gebruiken om mensen over het web te volgen, aangezien ze per website zijn gedefinieerd en niet met andere websites worden gedeeld. Ook claimt Google dat ze niet met andere identifiers zijn te koppelen en gebruikers van tevoren toestemming moeten geven.
thirdparty.example.com
Dat ervan uitgaande dat je example.com vertrouwt maar geen idee hebt wie er achter thirdparty zit, laat staan of deze betrouwbaar is en niet is gehacked.
Deze constructie wordt al massaal misbruikt voor bulkmailers. Dit levert allerlei risico's op (zoek op internet naar "subdomain takeover"), wat wordt vergroot door dit uit te breiden naar "cookie-subdomeinen".
In dit geval zal een foute werknemer of externe cybercrimineel waarschijnlijk niet eens een https servercertificaat aan hoeven te vragen (dat is er al) en het gaat ook niet om een domein dat gisteren op naam is gezet (en daarom mogelijk niet wordt vertrouwd); sterker, zo'n subdomein kan meeliften als het hoofddomein op een "allow list" (voorheen whitelist) staat.
Nb. als je e-mail ontvangt van bijvoorbeeld noreply@e.example.com, is dat zelden afkomstig van example.com, maar van een derde partij:
1) Waarvan example.com jou wil doen geloven dat zij de afzender zijn;
2) Die jouw persoonsgegevens en wellicht andere (voor phishers interessante) informatie van example.com heeft gekregen (zonder dat jou daar toestemming voor gevraagd is). Gebruikelijk is het dat elke link in elke e-mail naar een website van die derde partij verwijst, zodat zij precies weten of en op welk moment precies jij op links in die mail klikt (meestal redirecten die sites jou vervolgens naar een pagina op de "echte" site, maar als ze gehacked zijn hoeft dat natuurlijk niet);
3) Sterker, example.com verbergt zo met wie zij jouw persoonsgegevens deelt. Bovendien kan example.com voor steeds andere subcontractors kiezen zonder dat doorsnee internetters hier iets van merken.
Ik hoop dat organisaties zo verstandig zijn om hiermee te stoppen i.p.v. dit uit te breiden met "cookie-subdomeinen". Wellicht wordt het tijd om bedrijven die zo omspingen met risico's (privacy en security) van hun klanten, publiekelijk aan de schandpaal te nagelen.
Neemt hiermee ook niet de scam- en phishing plaag verder toe?
Wil men perse een onhoudbare chaos veroorzaken.
Je zou bijna gaan denken dat vele partijen daar graag hun steentje toe bijdragen.
Of ben ik dan een conspiratie theorist?
luntrus
Wil men perse een onhoudbare chaos veroorzaken.
Maar het doel van de betrokkenen is m.i. niet een "onhoudbare chaos" veroorzaken. Ik ben geen expert op dit gebied, maar vermoed dat adverteerders en hun opdrachtgevers (waaronder eigenaren van websites die hun kosten gedeeltelijk of geheel voldoen via advertentie-inkomsten) steeds meer het gevoel hebben met hun rug tegen de muur te staan. Gerichte advertenties zijn het effectiefst, maar privacy-voorvechters verzinnen daar steeds meer maatregelen tegen, zoals het blokkeren van third party cookies. Dat adverteerders het publiek dan willen gaan volgen via "first party" cookies, zou geen verrassing moeten zijn.
Alleen zijn het geen echte "first party" cookies, maar third party cookies vanuit een first party domein. M.a.w. er wordt misbruik gemaakt van first party subdomeinen, met een heel scala aan risico's als gevolg.
Uit https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers:
Leuk als we straks logischer en betrouwbaarder overheidsdomeinnamen hebben, zoals:
• https://cn.belastingdienst.gov.nl/ i.p.v. https://belastingdienst-cn.nl/
• https://cn.politie.gov.nl/ i.p.v. https://www.politiecn.com/
• https://leefbaarometer.gov.nl/ i.p.v. https://leefbaarometer.nl/
https://googletagmanager.leefbaarometer.gov.nl/ niet van de overheid blijkt te zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
