這就是Internet Explorer 的瀏覽器輔助物件Browser Helper Object (BHO)的厲害之處。就像多數人熟悉的Google工具列,BHO元件會在你的 IE 上多一個工具列。大多數使用者安裝工具列的原因是它們能讓使用者直接存取搜尋引擎的主要資料庫,使搜尋工作大為簡化,甚至還能提升搜尋速度,只需要在搜尋方塊中輸入查詢字串,而不必按下我的最愛或書籤,也不必前往搜尋引擎網站。除此之外,它們還有其他實用的功能,像是標示搜尋詞彙與攔截彈出式廣告等。使用者只要按一下位於瀏覽器上方的面板,新聞、電話簿、氣象報告、遊戲及其他許多服務等便能迅速呈現。
我同意…do I?
事實上,原意是幫助使用者更方便瀏覽網頁的BHO工具,現在已經被廣告或間諜軟體所應用。BHO十分好用,很容易吸引使用者下載,因而也成了廣告或間諜軟體最方便「偷渡」工具。由於多數使用者根本不會花時間閱讀 EULA,甚至毫不考慮便接受其中的條款,稱為「使用者授權合約」(End User License Agreement,EULA),因此就在完全不知情的情況下安裝了廣告程式。
誘使使用者按下「我同意」按鈕的動作,是廣告軟體設計者避免法律訴訟問題的一個技倆;既然使用者自己按下這個按鈕,表示他們「顯然」想使用這個程式。BHO提供的「甜頭」就是他用來偽裝面目之方法。而在下載過程中,BHO還有以下情況,讓你完全不知發生什麼事:
•完成安裝程序之後,瀏覽器會被導向某網址介紹工具列的功能,藉此轉移使用者的注意力,使他們誤認為只是在系統上安裝了一般的工具列,並未從事其他活動。
•在安裝過程中不會出現任何訊息詢問使用者是否要安裝。使用者是在完成安裝之後才被導向內含使用條款聲明連結的網頁,因此使用者仍不清楚一旦安裝之後,系統會發生哪些改變。之後的自動更新與安裝新增功能,也都不會通知使用者。
•一再出現大量的彈出式廣告,使用者難免會以為若要瀏覽這個網站就必須安裝該程式。
•有些 EULA 還會使用雙重否定的描述,像是「您是否不要繼續解除安裝?」稍不留心就誤解了原意
•聲稱部分的 EULA 位於某個網站上,使用者必須自行前往該網站查詢是否有任何變更。
•使用者若繼續按下「下一個」按鍵,就代表明確同意任何與所有的變更。 事實上就算你個性嚴謹地逐字閱讀,也未必能瞭解其字義間的奧妙。某些 EULA 完全不隱瞞它們將在使用者電腦中從事的活動,以及對使用者資料的處置方式,但是 EULA 可能動輒 20 頁以上,又充滿法律專用術語,一般使用者不太可能會嘗試閱讀或瞭解全部的內容。
在使用者被各種文字及現象弄得頭暈腦脹,完全搞不清楚狀況時,廣告程式已經進到你機器中了。
要五毛、給一塊
肆虐最為嚴重的廣告程式之一--Best Offers Network—如此描述自己:「傳遞廣告與各種促銷訊息到您的電腦螢幕上,同時又能讓您檢視網頁」,這個廣告軟體在EULA所言:「 Best Offers Network 收集非個人身分識別資料的目的是為了在適當的時機提供適合您的廣告,以及監視系統的效能與普及程度。」而它果真會根據您在第三方網站搜尋的詞彙提供相關的廣告、連結或資訊,包括貼心的購物比價選擇。
看了它的進一步解釋,或許你會瞭解天下果然沒有白吃的午餐:「此外,我們可能會將上述非個人身分識別資訊透露給我們的業務夥伴,但僅限於雙方相互供應的服務。.…未來可能會有非 Best Offers 合作夥伴的第三方業者,未經您的同意就嘗試將應用程式或功能安裝到您的電腦中…」
除了蒐集你個人連網活動的資料之外,這些第三方軟體可能嘗試在您瀏覽器的『信任網站』清單中插入特定網域名稱、修改 HOSTS 檔案或任意變更您的網路通訊設定。「假使 Best Offers 相信有第三方對您的網路通訊造成妨礙,我們將保留修正衝突以維持正常通訊功能的權利。」
看起來挺貼心的服務。但事實上這個廣告程式會未經你同意就清除 HOSTS 檔案與瀏覽器的信任網站清單。只要它認為有必要,就會修改網路連線設定。這將帶給使用者極大的困擾,因為他們必須依據自己的偏好,手動重新設定連線。
你滑鼠按下「我同意」安裝BHO後,除了一個工具列外,還可以得到許多原來並不知道或不別想要的東西,也都會統統送給你,或許會沾沾自喜。當你知道背後原因時,就會恍然大悟:「要五毛、給一塊」,可是一點也不奇怪。(待續)
1.hsuming 於 2006/08/31 00:15 回應
關於刑事警察局查獲網路封鎖線惡意程式作者案您好,
我是您專欄的忠實讀者,閱讀您的文章讓我獲益良多,十分感激。
有件時事想要藉助您的專業能力分析與評論,煩請您在繁忙之中撥出一點時間。
不知您是否有閱讀過這篇新聞:刑事警察局新聞:連結">刑事警察局查獲網路封鎖線惡意程式作者案
我是穿越封鎖線 Freedom 的使用者。我家以前沒有 IP 分享器,想要做到多台電腦上網,之前是搞個代理伺服器(Proxy)軟體,不過自從有了穿越封鎖線 Freedom 之後,真的帶給我很大的便利,我再也不用安裝其他代理伺服器軟體就能達到同樣的功能。這只是個通訊埠對映 (Port Mapping) 程式,而對我與大部分的使用者來說,它只是一個網路工具,此程式的目的是在於便利使用網路,我認為它絕非刑事警察局所言的『專供犯罪之電腦程式』,更非『惡意程式』。
我不知道刑事警察局的判斷邏輯為何,通訊埠對映絕非是攻擊行為,隱藏執行過程功能(其實只是縮小到系統列圖示)更非木馬程式的獨有特質。更何況擁有這些功能,絕對不代表這是犯罪,沒有人會只因為擁有性侵害的工具(性器官)與性侵害的功能(性能力)而被直接認定為強暴犯逮捕。駭客將軟體用作非法用途,並非代表此軟體罪深惡極。就像駭客利用 IE 漏洞入侵電腦,利用 Outlook 散佈 Email 病毒,利用 Word/Excel 製作且散佈巨集病毒,而任何人都知道這些軟體絕非『專供犯罪之惡意程式』一樣。
從事資訊業超過十年,這真是令我感到非常震撼與心寒。雖然我質疑刑事警察局的專業與否,更害怕是外行監督內行造成對資訊人員的傷害。但是資訊安全並不是我的領域,所以想藉助您的專業能力對該軟體與事件作一分析與評論,也希望能為該軟體的作者平反,洗清莫須有的罪名。
穿越封鎖線 Freedom 軟體可以在各大站下載到。
交通大學 連結
義守大學 連結