ประวัติ YouTube ของคุณเปิดเผย: นักวิจัยระบุข้อบกพร่องด้านความปลอดภัยโดยธรรมชาติในการสตรีมวิดีโอ

ช่องโหว่ด้านความปลอดภัยบน YouTube

ในขณะที่ค้นคว้าว่าผู้ให้บริการอินเทอร์เน็ต (ISP) สามารถเพิ่มประสิทธิภาพการบริการเพื่อปรับปรุงประสบการณ์การรับชมวิดีโอของผู้ใช้ได้อย่างไร Ran Dubin ผู้เชี่ยวชาญด้านความปลอดภัยในโลกไซเบอร์ตระหนักว่า ISP สามารถตรวจสอบได้มากกว่าคุณภาพการดู - หากพวกเขาต้องการกำหนดความแม่นยำ ชื่อวิดีโอที่ผู้ใช้กำลังดูอยู่.

วิธีการของ Dubin นั้นแตกต่างจากวิธีการตรวจสอบตามปกติ วิเคราะห์รูปแบบการรับส่งข้อมูลเท่านั้น, ในขณะที่เทคนิคการตรวจสอบแบบดั้งเดิมดูข้อมูลที่ไม่ได้เข้ารหัสใช้ประโยชน์จากข้อบกพร่องในโปรโตคอลหรือวิเคราะห์แต่ละแพ็กเก็ต.

แม้ว่า YouTube จะใช้การเข้ารหัสเพื่อรักษาความปลอดภัยข้อมูลของคุณ Dubin อธิบายกับ ExpressVPN ทุกคนที่ดูเครือข่ายของคุณสามารถระบุได้อย่างชัดเจนว่าคุณกำลังรับชมอะไร แต่มีวิธีที่คุณสามารถป้องกันตัวเองได้.

การแม็พสตรีมกับรูปแบบ

Dubin บอก ExpressVPN,

“ ฉันพบว่าสตรีมทั้งหมดมีรูปแบบที่แตกต่าง และรูปแบบเหล่านั้นสามารถระบุได้”

เบราว์เซอร์ของคุณทำสองสิ่งเมื่อคุณใช้ YouTube เพื่อสตรีมวิดีโอ:

  1. มันเปิดช่องทางเข้ารหัสด้วย YouTube ซึ่งข้อมูลทั้งหมดจะถูกโอน.
  2. มันร้องขอและรับส่วนเล็ก ๆ ของวิดีโอที่คุณภาพเฉพาะขึ้นอยู่กับความเร็วของการเชื่อมต่อเครือข่ายของคุณ.

แม้จะถูกเข้ารหัสกลไกการเข้ารหัสจะสร้างข้อมูลที่เพียงพอสำหรับผู้สังเกตการณ์ที่มีความซับซ้อนเพื่อแยกส่วนที่คุณรับชม ในทางที่ผิดข้อมูลนี้สามารถขายได้ง่ายหรือนำไปใช้ในการกำหนดเป้าหมายและแยกแยะกับใครก็ได้.

วิดีโอแต่ละรายการมีลายเซ็นที่เป็นเอกลักษณ์และตรวจสอบย้อนกลับได้

การวิจัยของ Dubin พบว่าในขณะที่วิดีโอของคุณกำลังโหลดใครก็ตามที่สังเกตการเชื่อมต่อเช่น ISP ของคุณแฮ็กเกอร์แตะที่เครือข่าย Wi-Fi หรือหน่วยงานของรัฐสามารถทำตามรูปแบบการเข้ารหัสข้อมูลที่แตกต่างกัน.

รูปแบบนี้มีอยู่เนื่องจากวิดีโอถูกดาวน์โหลดเป็น 'ชิ้น' สร้างจุดสูงสุดและเงียบในกระแสการจราจร โดยการวิเคราะห์จำนวนบิตต่อจุดสูงสุดที่กำหนดตัวอย่างเช่นด้วยจำนวนสีหรือการเคลื่อนไหวอย่างรวดเร็วในก้อนวิดีโอนั้นลายเซ็นต์ของวิดีโอถูกสร้างขึ้นทำให้สามารถระบุได้อย่างมีเอกลักษณ์.

สไลด์ที่ตัดตอนมาจากการบรรยายของ Dubin ที่ Black Hat Europe 2016สไลด์ที่ตัดตอนมาจากการบรรยายของ Dubin ที่ Black Hat Europe 2016 โดยได้รับอนุญาตจาก R. Dubin.
Ran Dubin, Amit Dvir, Ofir Pele และ Ofer Hadar “ ฉันรู้ว่าคุณเห็นอะไรในนาทีสุดท้าย - กล่องเบราว์เซอร์ Chrome” การบรรยาย Black Hat Europe 2016, London, 3 พฤศจิกายน 2016.

ในการจับคู่แต่ละรูปแบบกับวิดีโอผู้สังเกตการณ์แบบพาสซีฟจะต้องมีรายการวิดีโอทั้งหมดที่พวกเขาต้องการตรวจสอบไว้ล่วงหน้า แม้ว่าจะเป็นการยากที่จะรวบรวมรายชื่อวิดีโอทั้งหมดที่มีอยู่บน YouTube (เนื่องจากมีการอัปโหลดเนื้อหาใหม่ประมาณ 300 ชั่วโมงทุกนาที) แต่ก็เป็นไปได้ที่จะรวบรวมรายชื่อวิดีโอยอดนิยมหรือวิดีโอที่น่าสนใจ.

ศักยภาพสำหรับการละเมิดความเป็นส่วนตัว

แม้ว่าการพิจารณาว่าวิดีโอใดที่คุณดูไม่มีความสำเร็จเล็ก ๆ น้อย ๆ แต่การวิเคราะห์แบบพาสซีฟอาจทำให้เกิดปัญหาได้มากหากกลุ่มที่มีจุดประสงค์ที่ไม่ถูกต้องสามารถระบุได้ว่าคุณได้ดูวิดีโอใด ๆ ในรายการที่รวบรวมไว้ล่วงหน้าหรือไม่

  • วิดีโอที่เกี่ยวข้องกับนักการเมืองที่เฉพาะเจาะจง
  • วิดีโอที่เกี่ยวข้องกับการเคลื่อนไหวต่อต้านที่เฉพาะเจาะจง
  • วิดีโอที่ให้ข้อมูลเกี่ยวกับสภาวะสุขภาพบางอย่าง
  • วิดีโอที่เกี่ยวข้องกับการเลิกสูบบุหรี่หรือการเสพติดอื่น ๆ

มันเพิ่มความเป็นไปได้ที่ทุกคนสามารถถูกกำหนดเป้าหมาย cohorted หรือ discriminated โดยรัฐบาล ISP หรือผู้ให้บริการประกันสุขภาพเพียงแค่ดูวิดีโอที่พวกเขาดู.

วิธีการวิเคราะห์ปริมาณการใช้งานเครือข่าย YouTube แบบ passive

ลองนึกภาพผู้สังเกตการณ์ยืนอยู่ข้างนอกบ้านของคุณและสังเกตแพ็คเกจทั้งหมดที่ส่งถึงประตูบ้านของคุณ.

แม้ว่าแต่ละแพคเกจจะมีขนาดรูปร่างและน้ำหนักที่แตกต่างกัน แต่ผู้สังเกตการณ์สามารถจับคู่กับแคตตาล็อกของแพ็คเกจที่รู้จักและสรุปสิ่งที่คุณสั่งซื้อแม้ว่าพวกเขาจะไม่เคยเปิดแพ็คเกจของคุณ.

เมื่อคุณใช้งาน YouTube แต่ละแพ็คเกจไม่เพียง แต่มีลายเซ็นที่ไม่ซ้ำกันเท่านั้น แต่ยังมีที่อยู่ IP ของทั้งผู้ส่ง (YouTube) และผู้รับ (คุณ) ด้วยที่อยู่ IP เหล่านี้ผู้สังเกตการณ์สามารถพิจารณาได้ว่าแพ็คเกจนั้นเชื่อมโยงกับวิดีโอ YouTube หรือไม่พร้อมกับข้อมูลประจำตัวของคุณ.

ผู้สังเกตการณ์คนนี้อาจเป็นแฮ็กเกอร์ที่ควบคุมเราเตอร์ที่ร้านกาแฟในพื้นที่ของคุณผู้ดูแลระบบเครือข่าย Wi-Fi ในมหาวิทยาลัยหรือ ISP ของคุณ.

Dubin:“ ฉันอาจสามารถเดาได้ว่าวิดีโอใดที่คุณรับชมหลังจากเวลาดูประมาณ 30 ถึง 40 วินาที”

การวิจัยของ Dubin ยังใช้เมื่อคุณดูวิดีโอเพียงบางส่วนเท่านั้นและอาจเกิดขึ้นแบบเรียลไทม์ด้วย “ ฉันมีตัวอย่างที่แตกต่างกันแสดงให้เห็นว่าฉันสามารถคาดการณ์ในส่วนของวิดีโอเรียลไทม์เช่นกัน อย่างไรก็ตามความแม่นยำของอัลกอริทึมนี้ยังไม่เสร็จสิ้น” เขาคาดการณ์ว่าจะใช้เวลาประมาณ 30-40 วินาทีในการดูว่าวิดีโอใดที่คุณกำลังรับชมอยู่.

เราควรกังวลเกี่ยวกับการตรวจสอบวิดีโอจำนวนมากหรือไม่?

ใช่และไม่. แม้ว่าการเฝ้าระวัง ณ จุดนี้จะเป็นไปได้ แต่ก็มีค่าใช้จ่ายสูงเนื่องจากผู้สังเกตการณ์จะต้องรวบรวมรายชื่อวิดีโอ YouTube ทั้งหมดที่พวกเขาต้องการระบุและวิเคราะห์พวกเขาทีละคน สิ่งนี้อาจฟังดูยาก แต่ต้องทำเพียงครั้งเดียวต่อวิดีโอที่สนใจแต่ละรายการ.

เงื่อนไขของเครือข่ายที่ผันแปรอาจก่อให้เกิดความท้าทายเพิ่มเติมเนื่องจากการสูญเสียแพ็คเก็ตและความล่าช้าของเครือข่ายทำให้เกิดความไม่แน่นอน อย่างไรก็ตาม Dubin แสดงให้เห็นว่าเขายังสามารถบรรลุอัตราความสำเร็จการทำนายที่สูงมากภายใต้เงื่อนไขเหล่านี้.

เนื่องจากรูปแบบที่บันทึกไว้ล่วงหน้านั้นน่าจะตรงกับรูปแบบที่สังเกตเท่านั้นชุดข้อมูลที่มีขนาดใหญ่มากน่าจะมีการจับคู่ที่ผิดพลาด Dubin อธิบายว่าในขณะที่การศึกษาของเขาพบว่าเป็นเท็จบวกกับขนาดตัวอย่าง 2,000 วิดีโอการเพิ่มจำนวนของชื่ออาจเพิ่มจำนวนนี้อย่างมากเพราะ“ ฟีเจอร์ Bit-Per-Peak อาจไม่ซ้ำกัน 100%”

ในขณะที่การวิเคราะห์นี้ในทางทฤษฎีสามารถนำไปใช้กับบริการและประเภทข้อมูลอื่น ๆ ได้เช่นกัน (คิดว่า Netflix, Facebook หรือ Spotify) Dubin จะไม่คาดการณ์ว่าบริการอื่น ๆ จะมีความเสี่ยง แต่เขาบอกว่าเขาอาจจะวางแผนโครงการวิจัยต่อไปของเขาเกี่ยวกับบริการเช่นนี้.

วิธีป้องกันกิจกรรม YouTube ของคุณจากการถูกติดตาม

ในขณะที่ YouTube สามารถเพิ่มความสับสนให้กับวิดีโอของพวกเขาในทางทฤษฎี Ran Dubin มีคำแนะนำเกี่ยวกับวิธีที่คุณสามารถป้องกันตัวเองในวันนี้:

“ คุณสามารถใช้ VPN [หรือ] คุณสามารถใช้เครือข่าย Tor เพื่อระบุตัวตนได้ยากขึ้นมาก”

การใช้เครือข่ายเช่น Tor หรือ VPN จะลบเครื่องมือระบุตัวตน: ที่อยู่ IP ของคุณ ด้วยการใช้ VPN ผู้สังเกตการณ์จะยังสามารถดูวิดีโอที่ดูจากเซิร์ฟเวอร์ VPN ได้ แต่การรับส่งข้อมูลนั้นจะผสมกับการรับส่งข้อมูลของผู้ใช้รายอื่นหลายร้อยคนซึ่งเป็นการขัดขวางความสามารถในการพิจารณาว่าใครกำลังดูอยู่.

เมื่อย้อนกลับไปที่การเปรียบเทียบแพคเกจ VPN หรือ Tor จะสร้างคลังเก็บ reshipment เป็นหลักซึ่งแพคเกจทั้งหมดจะได้รับการจัดการและส่ง ข้างในพวกมันจะถูกสะสมบรรจุใหม่และบรรจุเป็นครั้งคราวเพื่อเพิ่มความสับสน เมื่อสินค้าที่บรรจุใหม่ถูกส่งไปที่บ้านของคุณผู้สังเกตการณ์ไม่สามารถคาดเดาสิ่งที่อยู่ข้างในหรือผู้ที่ส่งหีบห่อ.

ISP ของคุณหรือผู้สังเกตการณ์อื่น ๆ ระหว่างคุณและผู้ให้บริการ VPN ของคุณจะเห็นข้อมูลที่น้อยลง เนื่องจากมาตรการทำให้งงงวยที่ใช้โดยแอพ VPN สมัยใหม่รูปแบบการรับส่งข้อมูลของคุณจะไม่ตรงกับที่พวกเขาอาจบันทึกไว้ล่วงหน้าอีกต่อไปแสดงข้อมูลที่พวกเขารวบรวมจากคุณโดยไร้ความหมาย.

ระวังข้อมูลเมตาของคุณ!

แม้แต่ข้อมูลที่เข้ารหัสก็ยังนำพาข้อมูลเมตาไปด้วย เมื่อคุณสตรีมวิดีโอ YouTube ผ่าน HTTPS ข้อมูลเมตานี้มาในรูปแบบของการประทับเวลาที่อยู่ IP ขนาดวิดีโอความยาววิดีโอและ - ตามที่ Dubin แสดง - รูปแบบที่ข้อมูลได้รับการส่ง.

เครือข่ายพร็อกซี่เช่นเครือข่าย Tor หรือ VPN สามารถช่วยตัดข้อมูลเมตานั้นด้วยการทำให้ยุ่งเหยิงหรือโดยการกำหนดเส้นทางผ่านชั้นของพร็อกซี.

ประวัติ YouTube ของคุณเปิดเผย: นักวิจัยระบุข้อบกพร่องด้านความปลอดภัยโดยธรรมชาติในการสตรีมวิดีโอ
admin Author
Sorry! The Author has not filled his profile.