Posts Recentes:

Você é mais negro que o ChatGPT? Faça este teste para descobrir

A agência de publicidade criativa McKinney desenvolveu um...

Google anuncia Gemma: IA de código aberto compatível com laptop

O Google lançou um modelo de linguagem grande...

Amazon lançará ‘loja especial’ de moda de valor na Índia

A Amazon está se preparando para fazer outra...

O Gerenciador de tags do Google contém vazamentos e vulnerabilidades de dados ocultos


Os pesquisadores descobrem vazamentos de dados no Google Tag Manager (GTM), bem como vulnerabilidades de segurança, injeções arbitrárias de scripts e instâncias de consentimento para coleta de dados habilitadas por padrão. Uma análise jurídica identifica potenciais violações da legislação de proteção de dados da UE.

Há muitas revelações preocupantes, incluindo que o GTM do lado do servidor “obstrui os esforços de auditoria de conformidade de reguladores, responsáveis ​​pela proteção de dados e pesquisadores…”

O GTM, desenvolvido pelo Google em 2012 para ajudar os editores na implementação de scripts JavaScript de terceiros, é atualmente usado em até 28 milhões de sites. O estudo de pesquisa avalia ambas as versões do GTM, o GTM do lado do cliente e o GTM do lado do servidor mais recente, introduzido em 2020.

A análise, realizada por pesquisadores e juristas, revelou uma série de questões inerentes à arquitetura GTM.

Um exame de 78 tags do lado do cliente, 8 tags do lado do servidor e duas plataformas de gerenciamento de consentimento (CMPs) revelou vazamentos de dados ocultos, instâncias de tags que ignoram os sistemas de permissão GTM para injetar scripts e consentimento definido como ativado por padrão sem qualquer interação do usuário.

Uma descoberta significativa diz respeito ao GTM do lado do servidor. O GTM server-side funciona carregando e executando tags em um servidor remoto, o que cria a percepção de ausência de terceiros no site.
No entanto, o estudo mostrou que esta arquitetura permite que tags executadas no servidor compartilhem clandestinamente os dados dos usuários com terceiros, contornando restrições do navegador e medidas de segurança como a Política de Segurança de Conteúdo (CSP).

Metodologia usada em pesquisas sobre vazamentos de dados GTM

Os pesquisadores são do Centre Inria de l'Université, Centre Inria d'Université Côte d'Azur, Centre Inria de l'Université e Universidade de Utrecht.

A metodologia utilizada pelos pesquisadores foi comprar um domínio e instalar o GTM em um site ativo.

O artigo de pesquisa explica em detalhes:

“Para realizar experimentos e configurar a infraestrutura do GTM, compramos um domínio – aqui o chamamos de example.com – e criamos um site público contendo uma página básica com um parágrafo de texto e um formulário de login em HTML. Incluímos um formulário de login desde Senol et al. …descobrimos recentemente que a entrada do usuário costuma vazar dos formulários, então decidimos testar se as Tags podem ser responsáveis ​​por tal vazamento.

O site e a infraestrutura Server-side GTM foram hospedados em uma máquina virtual que alugamos na plataforma de computação em nuvem Microsoft Azure, localizada em um data center na UE.

…Usamos a funcionalidade de 'perfis' do navegador para iniciar cada experimento em um ambiente novo, desprovido de cookies, armazenamento local e outras tecnologias que não mantenham um estado.

O navegador, ao visitar o site, foi executado num computador ligado à Internet através de uma rede institucional na UE.

Para criar instalações do GTM no lado do cliente e do servidor, criamos uma nova conta do Google, fizemos login nela e seguimos as etapas sugeridas na documentação oficial do GTM.”

Os resultados da análise contêm múltiplas descobertas críticas, incluindo que a “Tag do Google” facilita a coleta de vários tipos de dados dos usuários sem consentimento e no momento da análise apresentava uma vulnerabilidade de segurança.

A coleta de dados fica oculta dos editores

Outra descoberta foi a extensão da coleta de dados pela “Tag Pinterest”, que reuniu uma quantidade significativa de dados do usuário sem divulgá-los ao editor.

O que alguns podem achar perturbador é que os editores que implantam essas tags podem não apenas não estar cientes dos vazamentos de dados, mas também que as ferramentas nas quais confiam para ajudá-los a monitorar a coleta de dados não os notificam sobre esses problemas.

Os pesquisadores documentaram suas descobertas:

“Observamos que os dados enviados pela Pinterest Tag não ficam visíveis para o Publisher no site do Pinterest, onde efetuamos login para observar a divulgação do Pinterest sobre os dados coletados.

Além disso, descobrimos que os dados coletados pela Google Tag sobre a interação do formulário não são mostrados no painel do Google Analytics.

Esta descoberta demonstra que, para tais tags, os editores não têm conhecimento dos dados coletados pelas tags que selecionam.”

Injeções de scripts de terceiros

Os Gerenciadores de tags do Google possuem um recurso para controlar tags, incluindo tags de terceiros, chamados Web Containers. As tags podem ser executadas dentro de uma sandbox que limita suas funcionalidades. O sandbox também usa um sistema de permissão com uma permissão chamada inject_script que permite que um script baixe e execute qualquer script (arbitrário) fora do Web Container.

A permissão inject_script permite que a tag ignore o sistema de permissão GTM para obter acesso a todas as APIs do navegador e DOM.

Captura de tela ilustrando a injeção de script

Injeção de script do Gerenciador de tags do GoogleInjeção de script do Gerenciador de tags do Google

Os pesquisadores analisaram 78 tags do lado do cliente com suporte oficial e descobriram 11 tags que não têm a permissão inject_script, mas podem injetar scripts arbitrários. Sete dessas onze tags foram fornecidas pelo Google.

Eles escrevem:

“11 das 78 tags oficiais do lado do cliente injetam um script de terceiros no DOM, ignorando o sistema de permissão GTM; e o “Modo de Consentimento” do GTM permite alguns dos fins de consentimento por padrão, mesmo antes de o usuário ter interagido com o banner de consentimento.”

A situação é ainda pior porque não é apenas uma vulnerabilidade de privacidade, é também uma vulnerabilidade de segurança.

O artigo de pesquisa explica o significado do que eles descobriram:

“Esta descoberta mostra que o sistema de permissão GTM implementado no sandbox Web Container permite que Tags insiram scripts arbitrários e não controlados, abrindo assim potenciais vulnerabilidades de segurança e privacidade para o site. Divulgamos essa descoberta ao Google por meio do sistema on-line Bug Bounty.”

Plataformas de gerenciamento de consentimento (CMP)

As plataformas de gerenciamento de consentimento (CMP) são uma tecnologia para gerenciar o consentimento que os usuários concederam em termos de privacidade. Esta é uma forma de gerenciar a personalização de anúncios, armazenamento de dados do usuário, armazenamento de dados analíticos e assim por diante.

A documentação do Google para uso de CMP afirma que a definição dos padrões do modo de consentimento é de responsabilidade dos profissionais de marketing e editores que usam o GTM.

Os padrões podem ser definidos para negar a personalização de anúncios por padrão, por exemplo.

A documentação afirma:

Definir padrões de consentimento
Recomendamos definir um valor padrão para cada tipo de consentimento que você estiver usando.

Os valores de estado de consentimento neste artigo são apenas exemplos. Você é responsável por garantir que o modo de consentimento padrão esteja definido para cada um dos seus produtos de medição para corresponder à política da sua organização.”

O que os pesquisadores descobriram é que os CMPs para GTMs do lado do cliente são carregados em um estado indefinido na página da web e isso se torna problemático quando um CMP não carrega variáveis ​​padrão (chamadas de variáveis ​​indefinidas).

O problema é que o GTM considera variáveis ​​indefinidas como significando que os usuários deram seu consentimento para todas as variáveis ​​indefinidas, mesmo que o usuário não tenha consentido de forma alguma.

Os pesquisadores explicaram o que está acontecendo:

“Surpreendentemente, neste caso, o GTM considera todas essas variáveis ​​indefinidas como aceitas pelo usuário final, mesmo que o usuário final ainda não tenha interagido com o banner de consentimento do CMP.

Entre dois CMPs testados (ver §3.1.1), detectamos esse comportamento para o CMP Consentmanager.

Este CMP define um valor padrão para apenas duas variáveis ​​de consentimento – analytics_storage e ad_storage – deixando três variáveis ​​de consentimento GTM – security_-storage, personalization_storage feature_storage – e variáveis ​​de consentimento específicas para este CMP – por exemplo, cmp_purpose_c56 que corresponde ao propósito “Mídia Social” – em estado indefinido.

Estas variáveis ​​extras são, portanto, consideradas concedidas pelo GTM. Como resultado, todas as tags que dependem dessas quatro variáveis ​​de consentimento são executadas mesmo sem o consentimento do usuário.”

Implicações legais

O artigo de pesquisa observa que as leis de privacidade dos Estados Unidos, como o Regulamento Geral de Proteção de Dados da União Europeia (GDPR) e a Diretiva de Privacidade Eletrônica (ePD), regulam o processamento de dados do usuário e o uso de tecnologias de rastreamento e impõem multas significativas por violações dessas leis, como como exigindo consentimento para o armazenamento de cookies e outras tecnologias de rastreamento.

Uma análise jurídica do GTM do lado do cliente sinalizou um total de sete possíveis violações.

Sete violações potenciais das leis de proteção de dados

  • Potencial violação 1. Os scanners CMP muitas vezes perdem propósitos
  • Potencial violação 2. O mapeamento dos propósitos do CMP para variáveis ​​de consentimento do GTM não é compatível.
  • Potencial violação 3. Os propósitos do GTM são limitados ao armazenamento do cliente.
  • Potencial violação 4. Os objetivos do GTM não são específicos nem explícitos.
  • Potencial violação 5. Padronizar as variáveis ​​de consentimento como “aceitas” significa que as tags são executadas sem consentimento.
  • Potencial violação 6. A Tag do Google envia dados independentemente das decisões de consentimento do usuário.
  • Potencial violação 7. O GTM permite que os provedores de tags injetem scripts expondo os usuários finais a riscos de segurança.

Análise jurídica do Server-Side GTM

Os pesquisadores escrevem que as descobertas levantam preocupações jurídicas sobre o GTM em seu estado atual. Afirmam que o sistema introduz mais desafios jurídicos do que resoluções, complicando os esforços de conformidade e representando um desafio para os reguladores monitorizarem de forma eficaz.

Estes são alguns dos fatores que causaram preocupação sobre a capacidade de cumprir os regulamentos:

  • Cumprir os direitos do titular dos dados é difícil para o Editor
    Tanto para o GTM do lado do cliente quanto do lado do servidor, não há uma maneira fácil para um editor atender a uma solicitação de acesso aos dados coletados, conforme exigido pelo Artigo 15 do GDPR. O editor teria que rastrear manualmente cada Coletor de Dados para atender a essa solicitação legal.
  • O consentimento integrado levanta problemas de confiança
    Ao usar tags com consentimento integrado, os editores são forçados a confiar que os provedores de tags realmente implementam o consentimento integrado no código. Não há uma maneira fácil para um editor revisar o código para verificar se o provedor de tags está realmente ignorando o consentimento e coletando informações do usuário. A revisão do código é impossível para tags oficiais que estão em sandbox no script gtm.js. Os pesquisadores afirmam que a revisão do código para conformidade “requer engenharia reversa pesada”.
  • O GTM do lado do servidor é invisível para monitoramento e auditoria regulatória
    Os pesquisadores escrevem que os bloqueios GTM do lado do servidor obstruem a auditoria de conformidade porque a coleta de dados ocorre remotamente em um servidor.
  • O consentimento é difícil de configurar em contêineres de servidor GTM
    Faltam ferramentas de gerenciamento de consentimento nos GTM Server Containers, o que impede que os CMPs exibam as finalidades e os Coletores de Dados conforme exigido pela regulamentação.

A auditoria é descrita como altamente difícil:

“Além disso, a auditoria e o monitoramento só podem ser obtidos entrando em contato com o Publisher para conceder acesso à configuração do GTM Server Container.

Além disso, o Editor pode alterar a configuração do GTM Server Container a qualquer momento (por exemplo, antes de qualquer investigação regulatória), mascarando qualquer verificação de conformidade.”

Conclusão: GTM tem armadilhas e falhas

Os pesquisadores receberam notas baixas do GTM em segurança e padrões não conformes, afirmando que ele introduz mais questões legais do que soluções, ao mesmo tempo que complica a conformidade com os regulamentos e dificulta o monitoramento da conformidade pelos reguladores.

Leia o artigo de pesquisa:

Gerenciador de tags do Google: vazamentos de dados ocultos e suas possíveis violações sob a lei de proteção de dados da UE

Baixe o PDF do artigo de pesquisa aqui.

Imagem em destaque da Shutterstock/Praneat

Últimas

Você é mais negro que o ChatGPT? Faça este teste para descobrir

A agência de publicidade criativa McKinney desenvolveu um...

Google anuncia Gemma: IA de código aberto compatível com laptop

O Google lançou um modelo de linguagem grande...

Amazon lançará ‘loja especial’ de moda de valor na Índia

A Amazon está se preparando para fazer outra...

WhatsApp adiciona suporte de formatação para listas, citações em bloco e código embutido

O WhatsApp disse hoje que está lançando uma...

Assine

spot_img

Veja Também

Você é mais negro que o ChatGPT? Faça este teste para descobrir

A agência de publicidade criativa McKinney desenvolveu um...

Google anuncia Gemma: IA de código aberto compatível com laptop

O Google lançou um modelo de linguagem grande...

Amazon lançará ‘loja especial’ de moda de valor na Índia

A Amazon está se preparando para fazer outra...

WhatsApp adiciona suporte de formatação para listas, citações em bloco e código embutido

O WhatsApp disse hoje que está lançando uma...
spot_img

Você é mais negro que o ChatGPT? Faça este teste para descobrir

A agência de publicidade criativa McKinney desenvolveu um jogo de perguntas chamado “Você é mais negro que ChatGPT?” para esclarecer o preconceito...

Google anuncia Gemma: IA de código aberto compatível com laptop

O Google lançou um modelo de linguagem grande de código aberto baseado na tecnologia usada para criar o Gemini que é poderoso, porém...

Amazon lançará ‘loja especial’ de moda de valor na Índia

A Amazon está se preparando para fazer outra tentativa de entrar no setor de rápido crescimento do comércio eletrônico de moda e estilo...