Den grumliga världen av tredje parts webbspårning

Ett av de mörkaste områdena inom internethandel är den internationella handeln med personlig information som samlats in av vissa företag som övervakar vårt beteende online. Den här typen av datainsamling från tredje part är överallt på webben tack vare den ödmjuka kakan.

En cookie är en liten bit data som en webbplats laddar in i din webbläsare. Varje gång du besöker den sidan i framtiden skickar webbläsaren den cookien tillbaka till servern så att webbplatsen kan relatera detta till din tidigare aktivitet.

Cookies är en viktig del av internethandeln och används även i analys. De är säkra i den meningen att de inte kan bära virus. Men där säkerheten är mindre tydlig är att de gör det möjligt att bygga upp en bild av din onlineaktivitet, särskilt när en webbplats innehåller spårare som tillhör en tredje part, till exempel en annonsör eller analysleverantör. Dessa tredjepartsspårare kan ofta sätta ihop din aktivitet på flera olika webbplatser och när det händer blir frågan om integritet mer akut.

Det väcker några viktiga frågor. Hur använder dessa företag den data de förvärvar, var lagras den och vem har tillgång till den? Lagen som täcker denna typ av verksamhet är en särskilt grumlig nyans av grått i många delar av världen så svaren är inte alls tydliga.

Men ett viktigt steg för att öka transparensen är att fråga vilka företag som är involverade i den här typen av datainsamling i första hand och var de bedriver sin handel.

Idag får vi svar tack vare Marjan Falahrastegars arbete vid Queen Mary University, London, och några kompisar som har ägnat lite tid åt att spåra spårarna i länder över hela världen. Bilden de avslöjar är av ett globalt ekosystem av spårning från tredje part som visar hur omfattande denna praxis har blivit.

Deras tillvägagångssätt är relativt okomplicerat. Gå till en webbplats och den kommer att ladda cookies som sedan kan studeras. Vanligtvis kommer en webbplats att ladda cookies från domänen som visas i webbläsarens adressfält men kommer också att ladda cookies från andra domäner som tillhör annonsörer och analysföretag. Dessa tredjepartsspårare kan upptäckas eftersom deras domän inte matchar den för den besökta webbplatsen.

Falahrastegar och co skapade ett webbläsartillägg som automatiskt laddade ner denna information för varje webbplats och sedan rensade cookies innan de gick in på en annan webbplats. De gick sedan in på webbplatserna för de 500 mest populära webbplatserna i länder runt om i världen.

Ett praktiskt problem de stötte på är att cookies kan bero på webbläsarens geografiska plats. Så en webbläsare i Storbritannien som kommer åt en webbplats i Kina kan sluta med andra cookies än en webbläsare baserad i Peking.

För att komma runt detta använde Falahrastegar och co ett globalt forskningsnätverk som heter PlanetLab som har noder i många länder runt om i världen och ger tillgång till lokala webbplatser som om webbläsaren vore lokalt baserad.

Totalt samlade teamet in data från 28 länder med hjälp av PlanetLab-noder. Och de hittade spårare från tredje part som tillhör företag över hela världen. Till exempel har Google över 40 tredjepartsdomäner som används över hela planeten, Microsoft har 19, eBay 7 och så vidare. Det finns gott om mindre kända namn som använder många tredjepartsdomäner, som knet.cn, iponweb.net och sina.

Resultaten ger en fascinerande inblick i karaktären hos tredjepartsspårningstjänster. Teamet fann till exempel att distributionen av tredjepartsspårningsdata i Europa, Östasien, Oceanien och Sydamerika var mer eller mindre jämn. Däremot var antalet tredje parter som spårade data i Turkiet och Israel mycket större.

Ursprunget till dessa tredje parter är intressant att. Tredje parter från Tyskland och Ryssland är särskilt vanliga när det gäller att spåra användare över hela världen. Och tredje part från USA är inbäddade i populära webbplatser i Mellanöstern.

Falahrastegar och co säger att det finns en bra anledning till detta. De påpekar att distributionen av tredje parter återspeglar de juridiska begränsningarna som finns i drift lokalt. Till exempel, i EU och Australien finns det specifika lagar om vilken information som kan samlas in och hur användare måste meddelas. Så det är ingen överraskning att det finns en ganska jämn distribution av tredjepartsspårare på dessa platser.

Däremot finns det inga specifika lagar i länder som Kina och Turkiet, där tredjepartsspårare verkar vara mer froda.

Dessutom är lagen komplex på platser som USA och Ryssland, medan Tyskland ännu inte har antagit europeiska lagar om ePrivacy så situationen är tvetydig även där. Detta förklarar den höga närvaron av tredjepartstjänster i specifika länder som USA, Tyskland och Ryssland, säger Falahrastegar och co.

Den större bilden är att insamlingen av personuppgifter i många delar av världen är dåligt kontrollerad, om alls. Våra observationer tyder på att integritetsreglering, särskilt inom området molnberäkning, kräver mer uppmärksamhet från tillsynsgemenskapen, avslutar Falahrastegar och co.

Utsikten att det internationella tillsynssamfundet ska gripa denna nässlan verkar avlägsen. Men det öppnar möjligheten att någon annan organisation kan gå in för att öka transparensen på detta område. Det första steget för att förstå hur personuppgifter används är att avslöja detaljerna om vad som händer.

Falahrastegar och co har tagit första steget nu måste andra plocka upp den här bollen och springa med den.

Ref: arxiv.org/abs/1409.1066 : Anatomy of the Third-Party Web Tracking Ecosystem

Dölj