Úprava odkazů po jejich odkliknutí, normálka nebo bezpečnostní problém?

Bilawal Hameed se v příspěvku ve svém blogu zabývá možným zneužitím úprav odkazů na webové stránce po jejich odkliknutí. Úprava odkazů po jejich odkliknutí pomocí JavaScriptu je dnes běžnou praxí. Příkladem může být vyhledávač Google. Úpravy odkazů lze ale zneužít k oklamání uživatele (phishing). Na webové stránce je zobrazeno slovo AbcLinuxu. Webový prohlížeč po najetí myší na slovo AbcLinuxu zobrazí http://www.abclinuxu.cz/. Zdá se, že je vše v pořádku. Po kliknutí na AbcLinuxu je ale URL http://www.abclinuxu.cz/ pomocí JavaScriptu změněno a webový prohlížeč přesměrován někde úplně jinde. Jde nebo nejde o bezpečnostní problém? [reddit]

18.3.2013 22:32 | Ladislav Hagara | Zajímavý článek

Komentáře

[sachy]

Mě osobně to neskutečně s**e.

Napsal jsem si plugin do Opery, který odstranuje šmírovací redirect z výsledků Googlu, ke stáhnutí tady: http://www.uloz.to/xxLt7bX/google-detracker-oex

Operu ani G už nějaký pátek nepoužívám, takže nevím jestli stále funguje... nebojte se to kdyžtak fixnout; GPL :)

[Zopper]

Pokud neblokuješ i AdSense a Analytics, tak je google stejně schopný dohledat, kam si vlezl, když bude chtít... Takže sledovaný jsi stejně, ale přitom se zbavuješ bonusů jako historie hledání.

[Zopper]

Ach jo... To mělo být na Sachyho.

[David Watzke]

Přesunuto.

[Marble]

AdSense a Analytics není problém (blokovat), horší je, že spousta webů si přímo od googlu linkuje jQuery a další javascriptovosti, které se na stránce využívají, takže bez následků blokovat nejdou (nebo alespoň ne jednoduše).

Ono vůbec linkování cizího javascriptu je kapitola sama pro sebe. Kouknout se, co za javascript si troufne přilinkovat do stránky třeba i leckterý internetbanking stojí občas za to. (O různých obchodech, kde se zadává číslo karty ani nemluvě.)

Ale paranoiu stranou, je fakt, že eliminování onclick přepisování jsem udělal už dávno právě proto, že mě sr*** rozbití vykopírovaných odkazů.

[Franta]

Zrovna u vyhledávačů to má (i) legitimní využití – vyhledávač se může učit, které výsledky jsou na daný dotaz ty žádané a relevantní (ty, na které uživatelé klikají).

Uvítal bych ale, kdyby to bylo ve výchozím nastavení zakázané – a uživatel by to povolil jen pro stránky, kterým věří a chce jim informaci o svém klikání poskytovat.

[R]

Serie ma to, pretoze sa nedaju kopirovat linky. Musim to najprv otvorit a az potom skopirovat.

[.]

Přesně! Já se to snažil obejít přes lokální Privoxy (na roadwarrior laptopu), ale bez 100% úspěchu. Tak blokuju alespoň ty Analytics a jiný blbosti. Nicméně právě to kopírování mi vadí mnohem víc, než že někdo archivuje kdo na co klikal.

[petr_p]

Google to průběžně mění. Dokonce když přijdete z neznámého prohlížeče, tak už přepsané jsou hodnoty @href. Momentálně mi v Privoxy funguje tento regulární výraz s@onmousedown="return rwt\([^"]*"@@g.

[...]

noscipt noproblem

[Jiří J.]

+1, čekal jsem, že povolení JS (dočasné) a snad všeho na té doméně tuto ochranu vypne, ale očividně ne. Jelikož tohle povolování musím v dnešní době dělat pro každý pátý web, jsem rád, že ta ochrana zůstává zapnutá

[Drom]

+1, pokud ta stranka bez tech podivnejch vynalezu je schopna pracovat :(

[jára]

Nemyslím, že zákaz úpravy href po kliknutí by fakticky zvýšil nějakou bezpečnost. Pokud už mám zobrazenou phishingovou stránku, kde v zákulisí čeká hacker, tak si vždycky nějaký způsob na oblafnutí návštěvníků najde. Kolik normálních lidí (ne geeků) bude najíždět myší na odkaz, kontrolovat odkaz ve statusbaru, a až pak klikat? Spíš bych čas a peníze investoval do osvěty.

[melkors]

A v te osvete jako jeden z prvnich bodu bude "kontrolovat, kam ukazuje link" ...

[Zopper]

I když se zablokuje změna linků, tak to nepomůže...

$("a").click(function(event){
   event.preventDefault();
   window.location="http://seznam.cz";
});

A prostřední tlačítko se dá taky zachytit, takže jako bezpečné zbývá jen pravé myšidlo.

[Grunt]

normálka

To je taková menší normála?

[Franta]

BTW: je tu GNU IceCat:

Other sites rewrite the host name in links redirecting the user to another site, mainly to "spy" on clicks. When this behavior is detected, IceCat shows a message alerting the user.

[Nobody]

IceCat se velice rychle zaji, presne proto, ze neustale buzeruje s nejakymi alerty.