Proksi Glype 'anonim' mungkin tidak menutup identiti anda

Perkhidmatan proksi yang banyak digunakan untuk melayari Web tanpa nama dan digunakan untuk melarang pentadbir rangkaian melarang akses ke laman web seperti Facebook sering mendedahkan maklumat sensitif mengenai penggunanya, menurut seorang penyelidik keselamatan Switzerland.

Glype adalah sebilangan kecil kod PHP yang mengarahkan permintaan untuk halaman Web melalui halaman Web lain yang menjalankan perisiannya, kata penyelidik yang menjalankan projek Swiss Security Blog dan Zeus Tracker. Dia lebih suka kekal tanpa nama.

[Kuasai keselamatan anda dengan iGuide Keselamatan interaktif. | Ikuti perkembangan perkembangan keselamatan terkini dengan buletin Security Central. ]

Kod Glype membolehkan seseorang, misalnya, mengakses Facebook di tempat kerja walaupun halaman itu disekat, kerana nampaknya lalu lintas datang dari halaman Web yang menjalankan proksi. Kini banyak syarikat menyekat laman web seperti Facebook.

Kod Glype adalah percuma, dan sesiapa sahaja boleh memasangnya di laman Web mereka. Tetapi Glype sering salah konfigurasi, kata penyelidik. Ini membolehkan seseorang yang menjalankan proksi Glype menghidupkan log, yang menunjukkan alamat IP (protokol Internet) pengguna, laman web apa yang mereka minta dan waktu.

Sebilangan besar orang yang menjalankan proksi Glype tidak mematikan fungsi pembalakan itu, dan lebih buruk lagi, menjadikannya menghadap Web, yang bermaksud bahawa URL dapat dimanipulasi untuk mendedahkan log penuh.

Penyelidik memeriksa sekitar 20 proksi Glype, menemui 1,700 fail log dan lebih daripada satu juta alamat IP unik. "Terdapat puluhan proksi 'tidak selamat' di luar sana," katanya menerusi pesanan segera pada hari Jumaat.

Antara pengguna utama Glype adalah orang di China, menurut penyelidikannya. Beberapa laman web teratas yang dikunjungi menggunakan Glype adalah laman web pornografi Cina, YouTube, dan Facebook.

Penyelidikan lebih lanjut menunjukkan bahawa banyak alamat IP yang membuat permintaan halaman ada di dalam agensi pemerintah dan ketenteraan di seluruh dunia, walaupun penyelidik menolak untuk menentukan agensi mana.

Dalam satu contoh, penyelidik menemui pengguna kerajaan yang mengunjungi Facebook.

"Fail log menyediakan pautan ke profil pekerja kementerian luar negeri," tulis penyelidik. "Ketika saya memeriksa profil, saya baru saja melihat bahawa pengguna ini jelas merupakan pegawai perkhidmatan keselamatan di kementerian luar negeri."

Bergantung pada tetapan privasi halaman Facebook seseorang, mungkin untuk melihat perincian peribadi dan mendapatkan gambaran lebih lengkap mengenai siapa yang diketahui oleh surfer Web menggunakan Glype.

"Sekiranya ini adalah operasi pengumpulan maklumat, anda kini mempunyai identiti pegawai kerajaan atau tentera, nama agensinya, semua maklumat peribadinya yang telah dikongsi dalam talian dan seluruh rangkaian sosialnya," tulis Jeffrey Carr, CEO GreyLogic, di blognya IntelFusion. "Ia tidak menjadi jauh lebih baik daripada ini dalam dunia kecerdasan sumber terbuka (OSINT)."

Walaupun ada orang yang tidak tersalah konfigurasi ciri log Glype, mereka masih dapat melihat ke mana semua pengguna yang melalui pelayan mereka masuk ke Web, kata penyelidik itu. Orang tidak boleh mempercayai laman web rawak yang menjalankan Glype, katanya.

Jenis pelayan proksi alternatif yang dipanggil The Onion Router atau TOR memberikan tahap tanpa nama yang jauh lebih tinggi tetapi juga jauh lebih perlahan, kata penyelidik.

TOR adalah rangkaian pelayan di seluruh dunia yang digunakan untuk menolong melayari Web tanpa nama dengan mengarahkan lalu lintas secara rawak melalui banyak pelayan, menyembunyikan maklumat penting seperti alamat IP (Protokol Internet) seseorang. Pelayan TOR juga tidak dapat mengenal pasti rangkaian lengkap pelayan TOR yang digunakan untuk permintaan halaman.