Как минимум половина друзей: бот во «ВКонтакте» показывает, кто из пользователей авторизовался на Pornhub
В личные сообщения приходит список из ссылок на страницы друзей, что недавно заходили на порносайт.
Программист из Архангельска Даниил Суворов создал бота для «ВКонтакте» PRNHB, который раскрывает пользователю, кто из его друзей авторизуется на одном из крупнейших порносайтов Pornhub через учётную запись соцсети. Автор рассказал TJ, что создал приложение «по фану» в начале августа и пока им пользуются немного людей.
Обновлено в 15:30: пресс-служба «ВКонтакте» заявила TJ, что соцсеть закрыла выдачу информации о пользователях приложения Pornhub. Бот продолжает работать, но не присылает список друзей, это подтвердил Суворов.
Обновлено в 17:39: Суворов пояснил, что, несмотря на усилия команды «ВКонтакте», воспользоваться ботом ещё можно. Способ связан с изменением переменных в коде страниц с играми «ВКонтакте»: вместо друзей, подписанных на игру, пользователь увидит друзей, которые заходили на Pornhub.
Как работает бот PRNHB
- Бот работает на страницах пользователей, которые заходят на Pornhub с российского IP и авторизуются через «ВКонтакте»;
- При логине через «ВКонтакте» Pornhub запрашивает общую информацию о профиле: имя и фамилия, город проживания, место работы и ссылки на другие соцсети, если они указаны;
- Когда человек проходит авторизацию, в его профиль автоматически добавляется приложение Pornhub;
- Программист использовал метод, который возвращает информацию о том, установил ли пользователь приложение. Там же можно посмотреть весь список участников. Подробнее об этом написано в разделе «ВКонтакте» для разработчиков.
Проверка TJ показала, что PRNHB действительно пишет число друзей, которые сидят на Pornhub через «ВКонтакте», и выдаёт ссылки на их профили. Несколько друзей из списка редактора TJ подтвердили, что авторизовались на порносайте через аккаунт в соцсети. Часть из них уже знали про бота, потому что друзья присылали им сообщения от него со ссылками на их страницы.
Пользователи «ВКонтакте» теоретически могут использовать информацию о том, что их друзья смотрят порно, для деанонимизации. Так сделали пользователи «Двача», когда у пабликов соцсети пропала анонимность у откровенных фотографий.
Суворов не знает, что будет делать, если пользователи начнут жаловаться на его бота.
Это сложный вопрос [про деанонимизацию]. Я не считаю что смотреть порно это зазорно. «Порно для современности опорно».
Наверное, я порекомендую им использовать VPN или AdBlock, чтобы не видеть плашку входа через «ВКонтакте». Еще проверить список приложений на наличие Pornhub.
Проблемы бота
У бота также есть несколько проблем в работе. Во-первых, он не выдаст ссылки на друзей у тех, кто закрыл свой профиль и соответственно скрыл список друзей. Во-вторых, раз в определённое количество дней у приложения Pornhub сбрасывается токен — авторизация пользователя — поэтому один и тот же человек у разных друзей может быть в списке, а может быть скрыт. В-третьих, бот уже не справляется с наплывом пользователей и просит постоять в очереди, что может усугубиться с ростом популярности.
У закрытых страниц скрыты друзья. Поэтому им нужно либо открывать свою страницу, либо добавить в друзья или подписаться на профиль Дианы Лариновой. Через неё запрашиваются друзья — это мой аккаунт для тестов.
По поводу багов: ограничения API позволяют узнать информацию о 75 пользователях в секунду. Я ещё подумаю как это можно оптимизировать.
Безопасность «ВКонтакте»
Ещё в мае 2018 года во «ВКонтакте» обнаружили баг, позволяющий просмотреть пользователей приложений. Тогда стало известно, что около 2,9 миллиона человек авторизовались на Pornhub через «ВКонтакте».
По словам Суворова, эту лазейку соцсеть оперативно исправила, однако осталось несколько других методов узнать эту информацию.
Когда-то на багосах выкладывали ссылку, где можно было увидеть участников любого приложения. Тогда это частично пофиксили. Есть ещё один способ узнать, сидит ли друг на Pornhub: зайти на страницу приложений, выбрать меню «Действия», дальше «Пригласить друзей». Находим тех, кого в списке нет.
Скорее всего [когда «ВКонтакте» узнает про бота] закроет возможность смотреть есть ли пользователь в приложении только для Pornhub.
«ВКонтакте» и Pornhub заключили соглашение в 2017 году, чтобы проверять, достиг ли пользователь совершеннолетия. Это сделали только для пользователей из России, чтобы соответствовать российским законам об информации. Тогда представители соцсети утверждали, что «ВКонтакте» не получает информации о пользователе Pornhub и его действиях на сайте.
Суворов понимает, что «ВКонтакте», скорее всего, не даст его боту продолжить работу: «Вероятно, они закроют возможность смотреть есть ли пользователь в приложении только для Pornhub. Если это произойдёт, напишу про это в группе PRNHB».
#вконтакте #соцсети #уязвимости #порно