Yandex va Meta android foydalanuvchilarini "tinglamoqda"

Bu qanday ishlaydi?

Garchi Meta va Yandeks veb va mobil mazmun hamda identifikatorlarni bogʻlashda baʼzi farqlarga ega boʻlsa-da, asosan ikkala kompaniya ham localhost-soketlarga cheklanmagan kirish imkoniyatidan foydalanmoqda. Android operatsion tizimi INTERNET ruxsatiga ega istalgan oʻrnatilgan ilovaga loopback interfeysida (127.0.0.1) tinglovchi soket ochishga ruxsat beradi. Shu qurilmada ishlayotgan brauzerlar ham foydalanuvchining roziligisiz yoki platformaning aralashuvisiz ushbu interfeysga kira oladi. Bu esa veb-sahifalarga joylashtirilgan JavaScript-kodga Android uchun native ilovalar bilan oʻzaro aloqada boʻlish, foydalanuvchi harakatlari haqidagi maʼlumotlar va identifikatorlarni uzatish, shuningdek, vaqtincha mavjud boʻladigan veb-identifikatorlarni mobil ilovalarning uzoq muddatli identifikatorlari bilan bogʻlash imkonini beradi — bularning barchasi standart veb-APIlar orqali amalga oshiriladi.

Meta/Facebook Pixel tomonidan vebdan Meta ilovalariga cookie fbp uzatish (Android uchun)

Meta (Facebook) Pixel, Android mobil veb-brauzerida yuklanganda, WebRTC orqali first-party cookie _fbpni 12580–12585 UDP portlariga uzatadi — bu portlarni qurilmadagi istalgan ilova tinglashi mumkin. Biz aniqladikki, Google Play Storeda mavjud boʻlgan Metaga tegishli Android ilovalari — Facebook (515.0.0.23.90-talqini) va Instagram (382.0.0.43.84-talqini) — ushbu portlar diapazonini tinglaydi.

2025-yildan boshlab (asl maqolada sana aynan shunday yozilgan — tarjimon izohi) Meta Pixel _fbp cookie-faylining mazmunini SDP "ice-ufrag" maydoniga joylashtirish uchun SDP Munging nomi bilan tanilgan texnologiyadan foydalanmoqda, natijada STUN Binding Request xabari quyidagi rasmda koʻrsatilganidek localhost manziliga yuboriladi. Bu maʼlumot oqimi Chromening oddiy nosozliklarni tuzatish vositalari (masalan, DevTools) yordamida aniqlanmaydi.

Cookie _fbpni veb-saytdan native ilovaga va serverga uzatish jarayoni quyidagicha amalga oshadi:

1. Foydalanuvchi Facebook yoki Instagram native ilovasini ochadi, bu esa oxir-oqibat fon rejimiga oʻtadi va TCP portida (12387 yoki 12388) hamda UDP portida (12580–12585 oraligʻidagi birinchi boʻsh portda) kiruvchi trafikni tinglash uchun fon xizmati yaratadi. Foydalanuvchilar ilovalarga oʻz hisob ma’lumotlari bilan kirgan boʻlishi kerak.

2. Foydalanuvchi brauzerni ochadi va Meta Pixel birikkan veb-saytga tashrif buyuradi.

3. Ushbu bosqichda veb-saytlar joylashuvga va foydalanuvchiga qarab rozilik soʻrashlari mumkin.

4. Meta Pixel skripti _fbp cookieni WebRTC (STUN) SDP Munging orqali Instagram yoki Facebook native ilovasiga uzatadi.

5. Meta Pixel skripti shuningdek, _fbp qiymatini quyidagi parametrlar bilan birga — sahifa URL manzili (dl), veb-sayt va brauzer metama’lumotlari, hodisa turi (ev) (masalan, PageView, AddToCart, Donate, Purchase) — https://www.facebook.com/tr manziliga yuboradi.

6. Facebook yoki Instagram ilovalari brauzerda ishlayotgan Meta Pixel JavaScriptdan fbp cookieni qabul qiladi. Ilovalar fbp ni boshqa doimiy foydalanuvchi identifikatorlari bilan birga GraphQL (https://graph[.]facebook[.]com/graphql) orqali uzatadi va shu tariqa _fbp ID (veb-saytga tashrif) ni foydalanuvchining Facebook yoki Instagram hisob qaydnomasi bilan bogʻlaydi.

Taxminan 17-may kuni Meta Pixel oʻz skriptiga yangi usul qoʻshdi — bu usul _fbp cookieni STUN oʻrniga WebRTC TURN orqali uzatadi. TURN usuli SDP Mungingdan foydalanmaslik imkonini beradi; Chrome ishlab chiquvchilari oshkor qilinishidan soʻng SDP Munging’ni oʻchirishlari haqida ommaviy e’lon qilishgan edi. 2025-yil 2-iyun holatiga koʻra, Facebook yoki Instagram ilovalari ushbu yangi portlarni faol tinglayotganini kuzatmadik.

_fbp cookie haqida

Metaning cookie siyosatiga koʻra, _fbp cookie brauzerlarni reklama xizmatlari va sayt tahlili xizmatlarini taqdim etish maqsadida aniqlaydi va uning amal qilish muddati 90 kunni tashkil etadi. Ushbu cookie internetdagi eng mashhur millionta veb-saytning taxminan 25%ida mavjud boʻlib, bu uni Web Almanac 2024 maʼlumotiga koʻra internetdagi uchinchi eng keng tarqalgan first-party cookie qiladi.

First-party cookie degani — u foydalanuvchini turli veb-saytlar boʻylab kuzatish uchun ishlatilmaydi, chunki u faqat shu veb-sayt domeni doirasida oʻrnatiladi. Bu shuni anglatadiki, bir foydalanuvchida turli veb-saytlarda turli fbp cookielari boʻladi. Biroq, fosh qilingan usul turli fbp cookielarini bir foydalanuvchi bilan bogʻlash imkonini beradi, bu esa mavjud himoya choralari va foydalanuvchi manfaatlariga zid keladi.

Yandeks 2017-yildan beri localhost bilan aloqani ishlatadi

Yandeks.Metrika skripti ma’lum TCP portlar — 29009, 29010, 30102 va 30103 orqali localhostga uzun va tushunarsiz parametrlar bilan HTTP-soʻrovlar yuboradi. Bizning tekshiruvimizga koʻra, Yandeksga tegishli ilovalar — Yandeks.Xaritalar, Yandeks.Navigator, Yandeks.Qidiruv va Yandeks.Brauzer — ushbu portlarni faol tinglaydi. Bundan tashqari, tahlilimiz shuni koʻrsatadiki, yandexmetrica[.]com domeni 127.0.0.1 teskari aloqa manziliga yoʻnaltiriladi, va Yandeks.Metrika skripti maʼlumotlarni HTTPS orqali lokal portlar — 29010 va 30103 — ga uzatadi. Bunday yondashuv maʼlumotlar “chiqarilishi” jarayonini aniqlashni murakkablashtiradi va an’anaviy aniqlash mexanizmlarining ishini qiyinlashtiradi.

Yandeks ilovalari tinglanishi kerak boʻlgan portlar roʻyxatini olish uchun Yandeks domeniga (startup[.]mobile[.]yandex[.]net yoki unga oʻxshash) murojaat qiladi. Ushbu endpoint JSON formatidagi javobni qaytaradi, unda lokal portlar (masalan, 30102, 29009) va "first_delay_seconds" parametri mavjud boʻlib, fikrimizcha, bu parametr xizmat ishga tushishini kechiktirish uchun ishlatiladi. Test qurilmalarimizdan birida first_delay_seconds qiymati Yandeks ilovasining lokal portlarni tinglashni boshlashi uchun zarur boʻlgan vaqt (~3 kun) soniyalariga taxminan teng edi.

Yandeks.Metrika skripti tomonidan yuborilgan localhost HTTP-soʻrovlarini qabul qilgach, mobil ilova Base64 formatida kodlangan ikkilik maʼlumotlar bilan javob qaytaradi; bu maʼlumotlar tarkibida Android Advertising ID (AAID) hamda Java API orqali mavjud boʻlgan boshqa identifikatorlar — masalan, Google reklama IDsi va Yandeksga xos boʻlishi mumkin boʻlgan UUID mavjud boʻladi. Meta Pixel holatidan farqli oʻlaroq, bu maʼlumotlarning barchasi JavaScript kodi orqali veb-brauzerda bajarilib, Yandeks.Metrika serveriga (masalan, mc[.]yango[.]com) yuboriladi, native ilova orqali emas. Yandeks holatida native ilova Androidning native identifikatorlarini yigʻish va ularni localhost orqali brauzer mazmuniga uzatish uchun proksi sifatida xizmat qiladi.

Yandeksning veb-ilovadan native ilova va serverga qadar boʻlgan butun aloqa jarayoni quyidagicha amalga oshadi:

1. Foydalanuvchi Yandeksning native ilovalaridan birini ochadi, bu esa oxir-oqibat fon rejimiga oʻtadi va kiruvchi trafikni tinglash uchun ikkita HTTP porti (29009 va 30102) va ikkita port (29010 va 30103)da fon xizmati yaratadi.

2. Foydalanuvchi brauzerni ochadi va Yandeks.Metrika skripti birikkan veb-saytga tashrif buyuradi.

3. Yandeks skripti shifrlangan parametrlarni olish uchun oʻz serverlariga soʻrov yuboradi.

4. Ushbu shifrlangan parametrlar HTTP va HTTPS orqali localhostga yuboriladi. Bu URL manzili toʻgʻridan-toʻgʻri 127.0.0.1 IP manzilini yoki 127.0.0.1 manziliga yoʻnaltiriladigan yandexmetrica[.]com domenini oʻz ichiga oladi.

5. Yandeks.Metrika SDKi ilova ichida bu parametrlarni qabul qiladi va Yandeks.Metrika skriptiga veb-saytda 200 OK javobini yuboradi — bu javob tarkibida shifrlangan qurilma identifikatorlari mavjud boʻladi.

6. Yandeks.Metrika skripti veb-saytda bu identifikatorlarni qabul qiladi va ularni shifrlangan parametrlar bilan birgalikda oʻz serverlariga yuboradi.

Ushbu jadvalda Yandeksga tegishli bo‘lgan va localhost portlarida aniqlangan ilovalar keltirilgan. Har bir ilova uchun uning noyob paket nomi va sinovda ishlatilgan talqini ko‘rsatilgan:

Qo‘shimcha xavf: brauzer tarixining sizib chiqishi

Identifikatorlarni veb-ilovalar va native ilovalar o‘rtasida almashish uchun HTTP-so‘rovlaridan foydalanish (ya’ni WebRTC STUN yoki TURN emas) foydalanuvchi brauzer tarixining uchinchi tomonlarga oshkor bo‘lishiga olib kelishi mumkin. Android uchun yovuz niyatli uchinchi tomon ilovasi ham yuqorida tilga olingan portlarni tinglasa, Yandeks.Metrika skripti tomonidan yuborilgan HTTP-so‘rovlarni hamda Metaning avval foydalanilgan aloqa kanali orqali yuborilgan ma’lumotlarni tutib qolishi va HTTP Origin sarlavhasi orqali kuzatishi mumkin.

Ushbu xavfni namoyish etish uchun maxsus ilova ishlab chiqdik. Aniqlanishicha, Chrome, Firefox va Edge brauzerlari bunday turdagi tarix sizib chiqishiga ham standart, ham maxfiy (inkognito) rejimda zaifdir. Brave brauzeri esa bu muammoga chalinmagan, chunki u localhostga so‘rovlarni bloklaydi va maxsus bloklash ro‘yxatiga ega; DuckDuckGo brauzeri esa bu muammoga faqat qisman duchor bo‘ladi, chunki uning bloklash ro‘yxatida kerakli domenlar yo‘q.

Garchi boshqa ilovalar ham ushbu portlarni tinglashi mumkin bo‘lsa-da, Meta yoki Yandeksga tegishli bo‘lmagan biror ilovaning bu portlarni tinglayotganini aniqlamadik.

Videodemo havolasi: https://localmess.github.io/assets/video/Yandex_Browsers_compressed.mp4

Yandeks lokal host bilan aloqa uchun HTTP-so‘rovlaridan foydalanganligi sababli, kerakli portlarni tinglayotgan har qanday ilova foydalanuvchi tashrif buyurayotgan veb-saytlarni kuzatishi mumkin — bu yuqoridagi videoda ko‘rsatilgan. Dastlab tushuncha asosidagi test ilovamizni ochamiz, u Yandeks foydalanayotgan portlarni tinglaydi va keyin fon rejimiga yuboriladi. So‘ngra turli brauzerlarda beshta veb-saytga tashrif buyuramiz. Natijada, bu besh saytning URL manzillari ilovada ro‘yxatlangan holda paydo bo‘ladi.

Ta’sirlangan saytlar

BuiltWith — veb-texnologiyalarni joriy qilishni kuzatuvchi veb-sayt — ma’lumotlariga ko‘ra, Meta Pixel 5,8 milliondan ortiq veb-saytlarga o‘rnatilgan. Yandeks.Metrika esa deyarli 3 million veb-saytda mavjud. HTTP Archive — ochiq va ommaviy ma’lumotlar to‘plami bo‘lib, har oyda 16 millionga yaqin veb-saytni skanerlab chiqadi — u ma’lumotlariga ko‘ra, Meta Pixel 2,4 million va Yandeks.Metrika 575 448 veb-saytda mavjud.

100 000 ta eng mashhur sahifa ko'zdan kechirishlari: Frankfurt va Nyu-Yorkda joylashgan serverlar orqali CrUX reytingiga ko‘ra eng mashhur 100 000 ta saytni ikki marta ko'zdan kechirdik, bu orqali saytlar localhost soketlaridan qay darajada foydalanayotganini baholadik. Quyidagi jadvalda bu holat aniqlangan saytlar soni keltirilgan. Har bir mintaqa uchun birinchi ustunda barcha cookie fayllaridan foydalanishga rozilik berilgan holatda kuzatuv vositalari joylashtirilgan saytlar soni ko‘rsatilgan. Ikkinchi ustunda esa ("roziliksiz" belgisi bilan) foydalanuvchi saytni brauzerda ochgan zahoti, ya’ni foydalanuvchining roziligisiz ham, localhost bilan aloqa o‘rnatishga urinayotgan saytlar soni ko‘rsatilgan.

Bu qachondan boshlangandi?

Quyidagi jadvalda Yandeks va Meta tomonidan qo‘llanilgan usullarning evrilishi ko‘rsatilgan bo‘lib, har bir usul HTTP Archive tarixiy ma’lumotlari asosida birinchi marta aniqlangan sana bilan berilgan.

Suiiste’mol qilingan kengliklar

Ushbu yangi kuzatuv usuli Android platformalarida, jumladan, aksariyat Android brauzerlarida localhost soketlariga cheklanmagan kirish huquqidan foydalanadi. Biz ko‘rsatganimizdek, bu "ayg'oqchilar" mazkur amallarni foydalanuvchilar ogohligisiz amalga oshiradi, chunki hozirgi maxfiylikni nazorat qilish vositalari (masalan, sandboxlash yondashuvlari, mobil platformalar va brauzer ruxsatnomalari, internetdagi rozilik modellari, inkognito rejimlari, mobil reklamali identifikatorlarni tiklash yoki cookielarni tozalash) bu muammoni nazorat qilish va yumshatish uchun yetarli emas.

Ma’lumotni oshkor qilish

Android brauzerlari uchun asosiy ishlab chiquvchilarga mas’uliyatli ravishda xabar berilishi natijasida ushbu muammoni bartaraf etishga qaratilgan bir nechta yamoqlar paydo bo‘ldi; ba’zilari allaqachon joriy etilgan, boshqalari ishlab chiqilmoqda. Ushbu jarayon davomida faol hamkorlik qilgan va konstruktiv ishtirok etgan barcha ishlab chiquvchilarga (Chrome, Mozilla, DuckDuckGo va Brave) minnatdorchilik bildiramiz. Boshqa Chromium asosidagi brauzerlar ham o‘z mahsulotlarini to‘g‘rilash uchun upstreamdagi o‘zgarishlarga amal qilishlari kerak.

Biroq, bu qisqa muddatli tuzatishlardan tashqari, muammoni to‘liq hal qilish uchun kengroq chora-tadbirlar zarur, chunki mavjud tuzatmalar platforma sandbox siyosatlari va usullarining asosiy cheklovlarini qamrab olmaydi. Bunga localhostga kirishni foydalanuvchilarga bildiruvchi nazorat vositalari, platformalar uchun qat’iyroq siyosatlar, suiiste’mollarni oldini olish bo‘yicha izchil va qat’iy choralar hamda Androidning, ayniqsa localhost ulanishlariga tayanuvchi, jarayonlararo o‘zaro aloqalari (IPC) xavfsizligini kuchaytirish kiradi.

1. ICE hisob ma’lumotlarini SDP orqali qayta ishlash bloklangan, biroq TURN portlari orqali UDP-ulanishlar hali bloklanmagan (ular 138-talqinda bloklanadi). Biz tekshirgan Meta ilovalari chiqarilish vaqtida TURN portlarini tinglamayotgan edi, biroq Meta Pixel skriptlari allaqachon ma’lumotlarni TURN portlariga yubormoqda.

2. Yandeksning uchta muqobil domeni DuckDuckGoning bloklash ro‘yxatida mavjud emas edi, biroq bu domenlar juda kam sonli veb-saytlarda (31/100K) uchradi. DuckDuckGo ushbu zaiflikni bartaraf etish uchun bloklash ro‘yxatini tezda yangiladi.

3. Himoya bloklash ro‘yxatiga asoslangan.

4. “127.0.0.1” va “localhost” manzillariga so‘rovlarni bloklaydi.

Veb-sayt egalari bundan xabardormi?

Biz Meta tomonidan rasmiy ochiqlangan birorta ham hujjatni, shuningdek Yandeksning ushbu usul va uning maqsadini tavsiflovchi hujjatlarini topmadik. Meta Pixelga oid holatda, 2024-yil sentabr oyida Facebook dasturchilar forumlarida Meta Pixel nima sababdan Androiddagi web view ichida localhost bilan aloqa o‘rnatayotgani haqida savollar bilan murojaat qilgan, hayron bo‘lgan veb-sayt egalari tomonidan bildirilgan bir nechta shikoyatlarni aniqladik:

• Facebook SDK config file making call to localhost

• Why does my Pixel Javascript access http://localhost when in an embedded web view on Android

Ushbu shikoyatlar dunyoning turli burchaklaridan yuborilgan. Ushbu forum mavzularida Meta vakillaridan hech qanday rasmiy javob berilmagan. Bitta dasturchi 2024-yil sentabr oyida shunday degan edi:

Oddiy foydalanuvchilar bundan xabardormi?

Ehtimol, internetda sayr qilayotgan va veb-ilovalar bilan native ilovalarni bog‘lovchi Yandeks va Meta identifikatorlari o‘rnatilgan saytlarni ko‘rayotgan foydalanuvchilar bu holat haqida to‘liq xabardor emas. Aslida, yangi kuzatuv usuli quyidagi holatlarda ham ishlaydi:

• foydalanuvchi mobil brauzerida Facebook, Instagram yoki Yandeks hisobiga kirmagan bo‘lsa;

• foydalanuvchi inkognito rejimidan foydalansa;

• foydalanuvchi cookielarini yoki boshqa brauzer ma’lumotlarini tozalasa ham.

Bu kuzatuv usuli Androiddagi jarayonlararo izolyatsiya (sandboxing) va mijoz tomonidagi holatni (cookie, cache) tozalashga asoslangan kuzatuvdan himoyalanish vositalarini chetlab o‘tadi.

Dastlabki natijalar ushbu usullar veb-saytlarda cookielardan foydalanishga rozilik olishning aniq va to‘g‘ri shakllarisiz ham joriy qilinishi mumkinligini ko‘rsatmoqda. Agar sayt foydalanuvchi cookielar uchun rozilik bermasdan oldin Facebook yoki Yandeks skriptlarini yuklasa ham, bu xatti-harakatlar baribir ishga tushadi.

Tadqiqot mualliflari:

• Aniketh Girish (PhD talabasi)IMDEA Networks✉️ aniketh.girish@imdea.org

• Gunes Acar (Dotsent)Radboud Universiteti, Raqamli Xavfsizlik Guruhi & iHub✉️ g.acar@cs.ru.nl

• Narseo Vallina-Rodriguez (Dotsent)IMDEA Networks✉️ narseo.vallina@imdea.org

• Nipuna Weerasekara (PhD talabasi)IMDEA Networks✉️ nipuna.weerasekara@imdea.org

• Tim Vlummens (PhD talabasi)COSIC, KU Leuven✉️ tim.vlummens@esat.kuleuven.be