网络信任危机

Chrome和Firefox上著名的隐私安全插件Web of Trust最近爆出泄漏用户数据的丑闻，事件再次证明，互联网上的信任关系是如此的脆弱。

受到1.4亿互联网用户信任的Web of Trust（WOT）是一款浏览器插件，该插件主要用于保护用户上网浏览时免受广告跟踪、黑客陷阱和钓鱼攻击等危害。然而，该软件的开发商myWOT被发现在数据市场上贩售用户的数据：一份数百万WOT用户在一个月内访问的所有网络地址的列表。德国记者购买到的样本数据中包含300万德国WOT用户详细的冲浪历史。而开发商私下对此的声明是这一切只是一个疏忽，并承诺将改善这种情况。

然而，沃尔夫·克里斯蒂尔并不太乐观，克里斯蒂尔认为这是一个非常荒谬的事件，一个本该是保护用户不被跟踪的数据安全插件，最终却将用户的数据收集并公开贩卖。作为数据交易方面的专家，沃尔夫·克里斯蒂尔非常了解用户的数据是如何被收集、评估和销售以及诸如WOT之类的插件收集和贩卖的数据会被如何利用。

他与研究员莎拉·斯皮克曼合作撰写了一本关于这个主题的书：这是一本该领域非常专业的研究书籍，这是一个法律和伦理的灰色地带，数据被秘密地变成金钱，而受损害的自然是数据被泄漏的用户。

来自数据的钱

沃尔夫·克里斯蒂尔认为myWOT贩卖的浏览器数据对于数据商业领域特别有价值，如此完整的浏览历史记录包含一个人访问的网站和使用的Web服务，这样的数据不仅可以创建个性化配置文件用于有针对性的广告投放，还可以用于很多其他的方面，问题相当严重，但不幸的是，这是一个法律和伦理的灰色地带，类似的操作对于互联网企业来说已经是司空见惯的了，至少在德国许多公司以类似的方式获取用户的数据。

而更严重的是，myWOT贩卖的浏览器数据中还包含了一些对于用户至关重要的数据，这就是myWOT私下承认草率的原因，但是我们并不能知道这是他们无心之失还是有意为之。据沃尔夫·克里斯蒂尔介绍，myWOT记录和销售的数据不仅包含用户访问网站的网址，而且将浏览器地址栏上整个URL及其参数也收集贩卖。在数字广告业内贩售的数据通常会包含网站的网址等数据，这是相对普遍的事情，但是贩卖整个URL及其参数则会为用户带来巨大的安全风险。

众所周知，地址栏上完整的URL通常包含可追溯到用户身份的数据，例如电子邮件地址、个人云存储器上的链接、社交网络和论坛上个人资料的链接。对于一些安全验证方式不完善的网站，甚至可以使用包含参数的完整URL直接访问用户的账户信息。因此，myWOT销售的数据不仅可以轻松追溯用户的身份，对于用户来说还可能有更多、更严重的风险，而该公司的所作所为也已经违反了WOT的数据保护规则。

广泛的配置文件

不过，沃尔夫·克里斯蒂尔对于myWOT的丑闻一点也不觉得惊讶：一直以来使用浏览器插件泄漏数据的风险都非常高，而且克里斯蒂尔认为myWOT在所谓的数据贩售商中还只是一个小角色。据克里斯蒂尔介绍，许多公司都在跟踪用户的上网模式，这是一件涉及数以亿计的互联网用户和数百万网站和互联网服务的事情，因为用户数据对于这些企业来说意味着巨大的商业价值：收集和利用的用户数据越多，数据就越有价值。用户的偏好、个性特征和行为模式构成的所谓的配置文件越来越详细的时候，就可以通过更有效的方式联系和操纵特定的用户。而这些数据并不只是可以用于创建有针对性的广告，还可以用于确定用户的信誉和消费能力。

据沃尔夫·克里斯蒂尔介绍，所有收集用户数据的公司都试图在多个设备、平台和生活领域跟踪我们的上网行为，厘清我们的上网行为和购买行为以及所有数据之间的联系。按照沃尔夫·克里斯蒂尔先生的说法，这些公司在收集我们数据的时候，将通过特定的算法从所获得的电子邮件或者电话号码等相对稳定的个人细节中生成一个独特的代码，这个唯一的代码被分配给一个人，当我们在家中瀏览、在办公室使用互联网工作或者使用信用卡时，所有被跟踪收集汇总到以该代码识别的所谓的配置文件。

危险程度

这是一个远远超出人类历史上任何已知的强大实体的强大力量，所创建的所谓配置文件内容将涵盖我们日常生活的方方面面，无所不知、无所不有。沃尔夫·克里斯蒂尔先生认为，这是一个巨大的问题。在这样的系统中，所谓隐私保护只是一个笑话。或许WOT泄漏的数据只是一个浏览历史记录，即使包含了所有参数和完整的URL也并不足以酿成大祸。真正可怕的是在目前的数据交易规模下，全球化的收集、积累和精炼处理数据所创建的用户档案。以Oracle在2016年夏天收购的数据追踪服务商AddThis为例，按照该公司的声明，它在1 500万个网站上监测的用户超过30亿，并为这些用户中的每一个用户创建了一个档案。在如此规模的数据跟踪方式下，常规的匿名化方法发挥不了什么作用。数据追踪服务商将通过跟踪获得的数据对用户进行识别，它并不一定需要知道每一个上网用户的名字，但是它可以将所有上网用户与其唯一的档案关联起来。对于系统来说，用户的名字不再是最主要的识别代码，相反系统产生的代码将是用户的新名字。

对于这些互联网公司来说，要求或者禁止他们进行数据收集和交易明显是不现实的。目前我们不知道有什么方法可以更好地保护用户的权益，不过对于WOT来说问题相对比较简单，如果这一切确实只是一个疏忽，并且该公司确实有良好的意愿改善这种情况，那么该公司只需要在收集数据的过程中进行简单的处理，WOT插件就能够只收集访问的网站而不是完整的URL，然而所收集的这些数据在数据交易市场上仍然是有价值的，但对于用户来说，风险会低许多。