لدى معظم الأشخاص الذين أمضوا بعض الوقت على الإنترنت فكرة حول كون العديد من المواقع الإلكترونية تحفظ زياراتهم، كما تبقي على سجل من الصفحات التي قاموا بتصفحها.

فعندما تبحث عن زوج من الأحذية على موقع معين على سبيل المثال، فإن هذا الموقع يقوم بتسجيل وحفظ كونك كنت مهتما بهذا النوع من الأحذية، وفي اليوم الموالي الذي تبحر فيه في عالم الأنترنت، تظهر لك عدة إعلانات حول نفس الزوج من الأحذية على موقع (إنستجرام) أو موقع آخر من مواقع التواصل الاجتماعي.

إن فكرة تعقب المواقع لزيارات المستعلمين ليست جديدة، إلا أن بحثا تم اجراؤه في جامعة (برينستون) نشر مؤخرا، يشير إلى أن التعقب على الأنترنيت هو ”اجتياحي“ أكثر مما قد يستوعبه معظم المستعملين.

ففي طرحهم للجزء الأول من سلسلة بعنوان ”بلا حدود“، يشرح ثلاثة باحثين من (معهد سياسة تكنولوجيا المعلومات) Center for Information Technology Policy كيف أن ”نصوصا برمجية“ تعود لأطراف ثالثة غير المستعمل والموقع، والتي تشغّل على الكثير من المواقع الالكترونية الشهيرة، هذه النصوص البرمجية (السكريبتات) التي تقوم بتعقب كل ضغطة لك على لوح المفاتيح، وتسجلها، ثم تقوم بإرسالها إلى قاعدة بيانات -سيرفر- الطرف الثالث.

تقوم بعض المواقع التي تحوز على نسب كبيرة جدا من الزوار بتشغيل برامج تسجل كل مرة يقوم فيها المستعمل بالضغط على أي زر من أزرار لوح المفاتيح، كما تسجل كل كلمة يقوم بطباعتها.

وفقا لما اكتشفه هؤلاء الباحثون، فإنك إذا زرت موقعا ما، وبدأت في ملء استمارة، ثم تراجعت عن الأمر وتركتها، فإن كل حرف أدخلته يبقى محفوظا ومسجلا.

وإذا قمت بلصق أمر ما عرضا أو عن طريق الخطأ إلى استمارة ما على الإنترنت على أحد المواقع، كنت قد نسختها مسبقا، فهي الأخرى يتم تسجيلها وحفظها.

لابد أن الجميع مازال يتذكر كيف أن مستعملي الفيسبوك ثارت ثائرتهم في سنة 2013 عندما اكتشفوا أن تلك الشبكة الاجتماعية كانت تنتهج أمرا مماثلا فيما يتعلق بتحديث المنشورات على الحائط الشخصي – حيث أنه كان يسجل كل ما كان المستعلمون يطبعونه من كلمات، حتى وإن لم يقوموا بنشرها في نهاية المطاف.

تدعى هذه النصوص البرمجية أو مجموعة الأكواد التي تشغلها هذه المواقع بـ”سكريبتات إعادة العرض“ Session Replay Scripts.

تستعمل العديد من الشركات هذه النصوص البرمجية من أجل تكوين فكرة وحوصلة حول الكيفية التي يستعمل بها زبائنهم مواقعهم، ومن أجل تحديد الصفحات التي بها خلل، إلا ان هذه النصوص البرمجية والشيفرات والأكواد لا تقوم فقط بعرض حوصلة الإحصائيات العامة، بل إنها تقوم بتسجيل، كما عرض، كل جلسات التصفح الخاصة بكل فرد زار الموقع.

لا تشغّل هذه النصوص كذلك على كل صفحة من صفحات الموقع، لكن يتم تشغيلها غالبا على الصفحات التي يقوم فيها المستعملون بإدخال معلومات حساسة تخصهم، على غرار الكلمات السرية، والحالات الطبية وما شابه ذلك.

يقول (ستيف إنغلهارتد) وهو أحد الباحثين القائمين على هذه الدراسة: ”من الصعب على المستعمل استيعاب ما يحدث فعلا، إلا إن توغل عميقا في سياسة الخصوصية“، ويضيف: ”أنا سعيد فقط لكوننا سنعلم المستعملين بما يحصل معهم“.

إن أكبر إشكالية تشوب الموضوع برمته هي أنه من المستحيل الإبقاء على سرية هوية المعلومات التي تقوم (سكريبتات إعادة العرض) بتسجيلها وحفظها وجمعها، فوفقا للباحثين في هذه الدراسة تقوم بعض الشركات التي تتيح خدمات هذه البرامج، على غرار (فولستوري) Fullstory، بتصميم شيفرات تعقب تخوّل المواقع حتى من ربط التسجيلات التي تقوم بجمعها بهوية المستعمل الحقيقية، ففي النهاية بإمكان الشركات أن تعرف أن المستعمل هو مرتبط بعنوان بريدي معين، أو اسم معين.

من أجل إجراء دراستهم هذه، قام كل من الباحثين (إنغلهاردت) Englehardt، و(غونس أكار) Gunes Acar، و(أرفيند نارايانان) Arvind Narayanan، بالنظر والتحقيق في سبعة من أكبر شركات (سكريبتات إعادة العرض)، بما في ذلك كل من شركة (فولستوري) FullStory، و(سيشنكام) SessionCam، و(كليكتايل) Clicktale، و(سمارتلوك) Smartlook، و(يوزر ربلاي) UserReplay، و(هوتجار) Hotjar، وأكبر محرك بحث في روسيا: (ياندكس) Yandex.

قام هؤلاء الباحثون بتصميم صفحات تجريبية، وقاموا بتثبيت (سكريبتات إعادة العرض) تابعة لستة من تلك الشركات السبعة السابق ذكرها، على تلك الصفحات.

تشير نتائج اكتشافاتهم إلى أنه على الأقل واحد من النصوص التابعة لإحدى هذه الشركات يتم استعماله من طرف 482 موقعا من أفضل 50 ألف موقع وفقا لتصنيف (أليكسا) Alexa، حيث تتضمن بعض الشركات المشهورة التي تستعمل هذه النصوص البرمجية موقع Bonobos، وموقع Walgreens، وشركة الاستثمار المالي Fidelity، ومن الجدير بالذكر كذلك أن رقم 482 قد يكون أقل تقدير.

كما أنه من المحتمل أن لا تكون هذه النصوص البرمجية تقوم بتسجيل نشاط كل مستعمل يزور الموقع، فعندما كان الباحثون يقومون باختبار الصفحات التجريبية، لم يتمكنوا من رصد بعض النصوص البرمجية لأنها لم تكن مفعّلة.

ومنذ أن نشر هؤلاء الباحثون من معهد (برينستون) نتائج دراستهم هذه، صرحت كل من شركتي (بونوبوس) Bonobos و(والغرينز) Walgreens على أنهما ستقومان بالكف عن استخدام (سكريبتات إعادة العرض) هذه، حيث قال متحدث باسم شركة (وولغرينز) لموقع Vice Motherboard: ”نحن نتعامل مع حماية المعلومات الخاصة بزبائننا وزوار موقعنا بحذر وجدية شديدين، كما أننا فتحنا تحقيقا فيما يخص هذه الاكتشافات المذكورة في الدراسة المنشورة من طرف معهد (برينستون)، وبينما نحن ننظر في الشكوك التي أثارتها هذه الدراسة، ومن باب الحيطة والحذر، توقفنا عن مشاركة بياناتنا مع شركة (فولستوري)“.

لم تقم شركة (بونوبوس) Bonobos بالرد على طلب تعقيب على هذه الاكتشافات من طرف المعهد، لكن الشركة كانت قد صرحت لموقع Wired: ”لقد قررنا التوقف عن مشاركة بياناتنا مع شركة (فولستوري) Fullstory من أجل إعادة تقييم بروتوكولاتنا وعملياتنا المرتبطة بالخدمات التي توفرها لنا ذات الشركة، كما أننا نقوم باستمرار بتقييم وتدعيم أنظمتنا وتدابيرنا الهادفة إلى حماية بيانات زبائننا“.

لم تصرح شركة (فيديليتي) Fidelity عما إذا كانت ستتوقف عن استعمال (سكريبتات إعادة العرض)، حيث كان أحد المتحدثين باسمها قد صرح: ”نحن لا ندلي بأية تعليقات على العلاقات التي تجمعنا بالبائعين أو الشركات، لكن واحدا من أكثر أولوياتنا أهمية هو حماية معلومات، وهوية، وكذا بيانات زبائننا“.

تعرض الشركات التي تقدم خدمات (سكريبتات إعادة العرض) بعضا من أدوات التحرير التي تمكن المواقع من عزل المعلومات الحساسة عن عملية التسجيل، كما أنها تمنع علنا وبشكل صريح جمع بيانات المستعمل، إلا أن استعمال (سكريبتات إعادة العرض) من طرف بعض أكثر المواقع شهرة في العالم تكتنفه بعض الاختراقات والتجاوزات المتعلقة بخصوصية المستعمل.

كان القائمون على الدراسة قد كتبوا في بحثهم: ”قد يتسبب جمع محتويات الصفحة من طرف (سكريبتات إعادة العرض) الخاصة بالطرف الثالث بتسرب معلومات حساسة على غرار الحالات الطبية، وتفاصيل بطاقات الائتمان، وبعضا من المعلومات الشخصية الأخرى المعروضة على الصفحة، إلى الطرف الثالث كجزء من عملية التسجيل“.

يتم غالبا إدراج الكلمات السرية ضمن التسجيلات بشكل عرضي، على الرغم من كون النصوص البرمجية مصممة خصيصا لتجنب تسجيل الكلمات السرية وحفظها، كما وجد الباحثون كذلك أن بعضا من المعلومات الشخصية لم يتم تسجيلها في بعض الأحيان، أو كان يتم تسجيلها بصورة جزئية، على الأقل فيما يتعلق ببعض النصوص البرمجية فقط.

تقوم إثنتان من هذه الشركات وهي شركة (يوزر ربلاي) UserReplay وشركة (سيشنكام) SessionCam بمنع تسجيل كل ما يدخله المستعمل من معلومات خاصة به بشكل شامل (فهي تقوم فقط بتعقب مواطن نقر المستعمل)، وهي مقاربة أكثر أمانا.

ليس فقط ما يقوم المستعمل بإدخاله هو ما يهم هنا، حيث أنك عندما تقوم بتسجيل دخولك إلى موقع ما، فإن ما يتم عرضه على الشاشة قد يكون حساسا كذلك.

وجد الباحثون أنه ولا واحدة من الشركات السابق ذكرها توفر خدمة تسجيل آلية لما يتم عرضه على الشاشة من محتوى، فينتهي الأمر بكل ذلك المحتوى بالتسرب.

على سبيل المثال، قام الباحثون بتجريب موقع Walgreens، الذي كان يقوم بتشغيل نص برمجي من شركة (فولستوري)، فعلى الرغم من كون موقع Walgreens يستعمل عددا من أدوات التحرير وميزاتها التي توفرها شركة (فولستوري)، إلا أن الباحثين وجدوا أنه كان يتم جمع معلومات على غرار الحالات الطبية، ووصفات الدواء من طرف (سكريبتات إعادة العرض)، كما يقوم بجمعها مع الأسماء الحقيقية للمستعملين.

في الأخير، عبر القائمون على هذه الدراسة عن قلقهم حول احتمال كون شركات (سكريبتات إعادة العرض) عرضة لهجمات القراصنة والمخترقين، خاصة لكونها مستهدفة بشكل كبير نظرا للقيمة التي تمثلها، فعلى سبيل المثال، لدى العديد من هذه الشركات لوحات تشغيل Dashboards تمكن للزبائن إعادة تشغيل التسجيلات التي قاموا بجمعها، إلا أن شركات مثل Yandex، وHotjar، وSmartlook’s لديها لوحات تشغيل تعمل بصفحات HTTP غير مشفرة، بدلا من صفحات HTTPS مشفرة وأكثر أمانا، وكان الباحثون قد كتبوا في دراستهم: ”يمكن هذا الهاكرز والمخترقين من دسّ نص دخيل في الصفحة التي يتم فيها عرض التسجيلات، ومنه يستخرجون كل المعلومات والبيانات المسجلة“.

في رسالة إلكترونية لمتحدث رسمي باسم شركة (يانديكس) Yandex مع موقع Vice Motherboard، أخبره فيها أن الشركة المعنية تحاول استعمال صفحات HTTPS كلما كان باستطاعتها ذلك، كما قال بأنها ستقوم بتحديث منتوجها في القريب العاجل من أجل التوقف عن استعمال بروتوكول الـHTTP، حيث ورد في تصريحه: ”نستعمل الـHTTP بشكل متعمد، ذلك أن تسجيلات الجلسات تقوم بتحميل المواقع باستعمال الـiframe، للأسف فإن إدراج محتوى HTTP إلى مواقع تعمل بالـHTTPS هو أمر ممنوع على مستوى المتصفح، لذا يتطلب علينا استعمال الـHTTP من أجل هذه الخاصية“.

كما أدلى متحدث باسم شركة (سمارتلوك) Smartlook بتصريح مشابه في رسالة إلكترونية له مع ذات الموقع: ”إن فريق المنتوجات خاصتنا على علم ودراية بهذه الإشكالية، كما أنه بصدد العمل على تصليحها في أقرب الآجال“.

لم تدل كل من شركتي (هوتجار) Hotjar، و(يوزر ربلاي) UserReplay أيّ تصريح بعد نشر هذه الدراسة، أما المدير التنفيذي لشركة (سيشنكام) SessionCam فقد كتب في منشور له على مدونة: ”كل شخص في شركة (سيشنكام) يدعم نتائج وخلاصة الدراسة التي نشرها معهد (برينستون): ’إن تحسين تجربة المستعمل هو مهمة حساسة جدا بالنسبة للناشرين، غير أنها لا يجب أن تأتي فوق خصوصية هذا المستعمل‘، إن فريق شركة (سيشنكام) يعيش هذه القيم ويحترمها كل يوم، لذا فإن خصوصية زائر موقعك، وأمن بياناته هو على قدر كبير من الأهمية بالنسبة لنا“، كما كان متحدث باسم شركة (كليكتايل) Clicktale قد قال: ”إن الشركة تأخذ خصوصية كل من الزبون والمستعمل على محمل كبير من الجد، ومنه فنحن نستعمل درجات جد متقدمة من تقنيات الحماية، بهدف ضمان الإبقاء على البيانات خصوصية وآمنة“.

من الجدير التنويه كذلك إلى أنه ليست فقط (سكريبتات إعادة العرض) هي ما تتبعك حيثما تذهب على الإنترنيت، فقد وجدت دراسة نشرت في وقت حديث من هذه السنة أن قرابة 500 موقع مشهور في العالم يستعمل نفس برامج التعقب من أجل الاطلاع على سلوكك على الإنترنت بأشكال متنوعة.

أما إذا رغبت في صد ومنع (سكريبتات إعادة العرض)، فإنه توجد أداة تدعى AdBlock Plus بإمكانها حمايتك ضد كل النصوص البرمجية المذكورة في دراسة معهد (برينستون)، كما أن هذه الأداة كانت تعمل فقط على توفير الحماية ضد بعض هذه النصوص البرمجية فقط، أما الآن فقد تم تحديثها لصد جميعها كنتيجة على اكتشافات الدراسة.