При открытии в браузере сайтов, использующие системы web-аналитики Yandex Metric или Facebook Pixel, связанный с данными системами JavaScript-код отправлял запросы на открытые мобильными приложениями сетевые порты. В запросах передавались метаданные, Cookie и управляющие команды. В мобильных приложениях браузерные сеансы связывались с реальными идентификаторами пользователя и устройства, к которым имели доступ приложения. Например, сеансы могли связываться с учётными записями в Facebook и Yandex или с идентификаторами AAID (Android Advertising ID). Таким образом, даже при открытии сайта в режиме инкогнито или после удаления Cookie, сервисы Meta и Yandex могли точно идентифицировать пользователя, открывшего сайт, привязываясь к идентификаторам из мобильных приложений, запущенных на том же устройстве.

Реализованная техника представляла опасность не только из-за утечки информации в Facebook и Yandex, но и из-за возможности использования вредоносными приложениями. Сетевые порты, на которые отправлялись сведения об активности в браузере, могли использовать любые приложения для отслеживания активности пользователя и построения истории посещений, а не только приложения Facebook и Yandex.

Компании Facebook и Yandex воспользовались тем, что платформа Android не ограничивает создание слушающих сокетов в привязке к интерфейсу loopback (127.0.0.1), если приложение имеет полномочия INTERNET. В случае Facebook локальному приложению передавалось содержимое Cookie "_fbp" (уникальный идентификатор пользователя в Facebook Pixel). Через манипуляции с WebRTC содержимое подставлялось в поле "ice-ufrag" пакетов SDP, отправляемых в STUN-запросах на локальный хост. 17 мая в Chrome была заблокирована подобная возможность и скрипты Facebook Pixel перевели на использование WebRTC TURN. После раскрытия результатов исследования компания Meta удалила из скриптов Facebook Pixel отправку запросов на localhost.

В Яндекс метод отправки данных из браузера в мобильные приложения применялся с 2017 года. JavaScript-код сервиса Yandex Metrica устанавливал HTTP- или HTTPS-соединение с localhost по сетевым портам 29009, 29010, 30102 и 30103. Обращения отправлялись на сайт yandexmetrica.com, доменное имя которого резолвилось в IP-адрес 127.0.0.1. Информация о сетевых портах, на которых мобильные приложения Yandex должны были открыть слушающие сокеты, подгружалась динамически через запрос к хосту startup.mobile.yandex.net.

Сервер также передавал параметр first_delay_seconds, содержащий задержку перед запуском сетевых сервисов (приложения начинали принимать соединения не сразу после установки, а примерно через три дня). В ответ на HTTP-запрос мобильное приложение возвращало набор данных, включающий идентификаторы в сервисах Yandex, системные UUID и AAID (Android Advertising ID). JavaScript код Yandex Metric переправлял полученные идентификаторы на сервер mc.yango.com.

Упомянутые методы передачи данных работали в версиях Chrome и Edge для Android. В Firefox работал только метод Yandex. В DuckDuckGo и Brave отправка запросов к localhost блокировалась или требовала ручного подтверждения операции. В представленном в конце мая выпуске Chrome 137 была добавлена защита от подстановки данных в SDP.

Для защиты от рассмотренных злоупотреблений развивается спецификация PNA (Private Network Access), дающая возможность ограничить обращение к хостам во внутренней сети (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 и т.п.). Пробное внедрение данной спецификации в Chrome оказалось неудачным из-за возникновения проблем с совместимостью с некоторыми устройствами. В настоящее время развивается второй вариант спецификации - LNA (Local Network Access), для поддержки которой не требуется изменение на стороне устройств и достаточно изменений на стороне сайтов, которым нужен доступ к интранет-ресурсам.

https://www.opennet.ru/opennews/art.shtml?num=63350

https://localmess.github.io/

перевод от дипл:

Чистка «соответствия» продолжается.

BTW странно, что эти «страны свободы» не применяют санкции к Израилю.

PS

Для тех, кто собирается жаловаться, что этот список рассылки должен быть

свободным от политики,

Я согласен, пожалуйста, направляйте свои жалобы тем, кто делает замечания о «странах свободы

стран».

И ответ:

Если вы еще не слышали о санкциях против huawei, попробуйте почитать

как-нибудь почитать новости. И под «новостями» я не имею в виду спонсируемый китайским государством

спам.

Слово в слово как в оригинале:

Как мило, т.к. Торвальдс в своей тираде обвиняет что на него, дескать, набросились русские фермы тролей. А тут оказывается, что у Торвальдса свои фермы в наличии, которые копируют его высказывания как из методички.

Видимо в данном случае у Торвальдса не нашлось аргументов уровня "я финн, конечно я не поддерживаю китайскую агрессию"

Будь я контрибутором конкретно этого проекта, думаю моя мотивация коммитить в него сильно поуменьшилась бы после такого, даже если бы я и близко не был бы жертвой этих чисток. Начиная с того что open source проект был вымазан в политике и заканчивая тем КАК эти чистки были проведены - тихо, без объяснений причин, с последующей атакой на личности возмутившихся и даже просто интересующихся.

Ну то есть, даже если американские партнеры из OFAC засунули паяльник в твою финскую задницу, то исключить подсанкционных людей из мейнтейнеров можно было по-человечески, поблагодарив их за их вклад, объяснив причины публично и оставаясь в рамках собственного же code of conduct.