Если у вас есть паранойя, это ещё не значит, что на самом деле за вами никто не следит

[dil]

Для успокоения (или усиления, это уж как получится) свой паранойи сходите сюда, вбейте там в формочку wifi’ные мак-адреса своего компьютера и роутера и нажмите кнопочку Search MAC.

У меня географическое положение определилось:

а) по мак-адресу точки доступа, которая к внешнему интернету напрямую не подключена, а работает мостом между проводной и беспроводной сетью. Но положение определилось от предыдущего места жительства.

б) по мак-адресам точек доступа соседских беспроводных сетей (iwlist wlan0 scan). В виде круга радиусом метров в 150, но накрывающего реальное положение меня

в) самое печальное: по мак-адресу ноутбука. Правда, адрес определился не домашний, а офисный, но это означает, что гугл собирает и запоминает адреса не только точек доступа, но и клиентских устройств.

Как вы понимаете, для определения вашего географического положения не обязательно вбивать адреса вручную. С некоторыми ухищрениями это может сделать совершенно без вашего ведома javascript с сайта, на который вы зашли. И плевать ему будет на все ваши прокси-сервера, VPNы и торы. Подробности см. по той же ссылке.

via shaman007 in securityblogru.

Оригинал этой записи. Комментировать можно тут или там.

Любые материалы из этого блога запрещается использовать на сайте livejournal.ru в любой форме и любом объёме

Comments

[alexkuklin.livejournal.com]

А теперь внимательно прочитай, откуда его берут.
Бразуер, вообще говоря, не отдает мак-адрес.
Тем более мак-адрес точки, к которой ты привязан.
Там используется XSS для того, чтобы спереть макадрес из веб-интерфейса роутера.

[dil.livejournal.com]

Ну вот и откуда гугл взял мак-адрес моей точки доступа?

[alexkuklin.livejournal.com]

вообще firefox спрашивает о том, отдавать данные или нет
или уже не спрашивает?...

[dil.livejournal.com]

Раньше спрашивал, сегодня я не проверял. Но я сейчас не про это, а про "кастомизированное решение". Ты что имел в виду?

[alexkuklin.livejournal.com]

Я имею в виду то, что mac-адрес пи.... воруют через дыру в роутере - массовом продуке. Если использовать кастомизированное решение, то этот фокус не пройдет.

[dil.livejournal.com]

У меня с этой точки зрения решение довольно кастомизированное. Роутером работает линуксовая машина, wifi к ней приделан проводочком через железную точку доступа, которая работает тупым бриджом между проводной и беспроводной сетью. С точки зрения IP точка доступа прозрачна, гейтом для клиентов указана линуксовая машина, а на точку доступа можно попасть, только заранее зная её собственный IP-адрес.
Напрямую к провайдеру точка доступа последний раз подключалась в России. Тем не менее, Гугл по её маку показывает моё предыдущее место жительства.

[alexkuklin.livejournal.com]

Ну да.
Осталось понять, кто сольет связку mac-ip.
Это может сделать firefox через geolocation.
Или google через плагин gears.
Или эксплоит, который сопрет mac из админки роутера через xss.
Или ты сам, вбив свой mac-адрес :)

[dil.livejournal.com]

А IP там вообще при чём? Оно место определяет по маку, IP ему не нужен. Тем более, что у меня он на wifi серый.

Ну вот вбил я мак-адрес, и что? Как они его привязали к физическому положению? Никакого GPS (и даже GPRS) у меня ни в в ноутбуке, ни в AP нет.

[alexkuklin.livejournal.com]

p.s. для параноиков надо сделать либу, перегружающую функции определения mac-адресов компа и адреса ap и загружать через LD_PRELOAD.

[http://users.livejournal.com/_nik_/]

> Гугл по её маку показывает моё предыдущее место жительства.

У меня тоже по моему роутеру определялось предыдущее место жительства. Чтобы это исправить, пришлось включить GPS и пару раз запустить гуглокарты. Теперь определает текущее местоположение (благодаря чему гуглокарты даже при выключенном gps позиционируются в нужной мне части города, а не там где я жил год назад).

[ivlad.livejournal.com]

fuck, ты даже не понимаешь, как это работает. лучше молчи.

[alexkuklin.livejournal.com]

1. You visit a malicious web site (why are people so mean?)
2. The web site has a hidden XSS against your router (in this example, I'm using an XSS I discovered in the Verizon FiOS router)
3. The XSS obtains the MAC address of the router via AJAX.

цитата оттуда.
таки, откуда еще можно взять mac пользовательского компа [если не посадить троянца/руткит]?

[dil.livejournal.com]

С улицы послушать. Другой вопрос, что клиентский девайс с wifi часто мобилен, и запоминать его положение нет смысла, в отличие от точек доступа, которые обычно (хоть и не всегда) стационарны.

[alexkuklin.livejournal.com]

Ну послушал ты с улицы.
Но если у тебя шифрованная точка, то IP ты оттуда не узнаешь, это раз.
Если кто-то есть на улице и слушает твой трафик, то уже поздно пить боржоми, это два :)

[dil.livejournal.com]

Да при чём тут вообще IP? Он в этой схеме не используется совсем

[alexkuklin.livejournal.com]

Тогда я не понял, что вообще ты хотел сказать.

[dil.livejournal.com]

Я хотвел сказать, что в некоторых случаях возможно использовать XSS-атаку для определения мак-адреса роутера и на его основе гегографического положения без ведома клиента.

Но вот каким образом мои мак-адреса оказались в гугле привязаны к географическому положению, я не совсем понимаю. У меня нет ни одного GPS-девайса, который бы ходил в интернет, а у гостей они были настолько разово, что утечка через них маловероятна. Более того, моя точка доступа в интернет вообще сама не ходит и никогда не ходила (точнее, ходила в России, она DSLная).
Остаётся предположить, что адреса собирали путём прослушивания эфира.

А вот что ты хотел сказать про IP-адреса?

[alexkuklin.livejournal.com]

То, что в этой атаке используется XSS.
Если роутер атаке не подвержен, то фиг получится определить твой mac, а соответственно и geo location.

[dil.livejournal.com]

Тут есть два разных вопроса. 1) как и каую информацию собирает гугл относительно мак-адресов и географического положения
2) как эту информацию могут злонамеренно использовать нехорошие сайты
Но в обоих вопросах IP не используется, оно только про маки.

[ivlad.livejournal.com]

Но вот каким образом мои мак-адреса оказались в гугле привязаны к географическому положению, я не совсем понимаю.

Человек по улице прошел с андроидофоном или пативэн гугла с антенной помощнее.

[dil.livejournal.com]

Ну да, я и говорю - путём прослушивания эфира. Причем владелец гуглофона может даже и не знать, что там его девайс собирает и передаёт..

[ivlad.livejournal.com]

Технически, он знает, потому, что это написано где-нибудь на странице соглашения.

[alexkuklin.livejournal.com]

http://pics.livejournal.com/alexkuklin/pic/00063k8c

[http://users.livejournal.com/_nik_/]

Ну, GPS-координаты он при всём желании отдать не сможет. Разве что маки и ssid`ы окружающих точек, надо доки что ли посмотреть чего именно он отдаёт.

[dinozavr.livejournal.com]

Опера также спрашивает, отдавать данные или нет. И просит подписать соглашение Google (если да).
Во всяком случае Opera 11.0 (Win XP sp3 PE Eng).