Una recente ricerca della Princeton University (approfondimento a questo link) ha portato alla ribalta una pratica nota da tempo, di cui però non erano state analizzate nei dettagli tutte le implicazioni. È il session replay, una tecnologia pensata per catturare tutte le operazioni svolte da un navigatore durante la visita a un sito Web o a un’applicazione online.
Il session replay fa parte delle cosiddette analisi di telemetria, che servono agli sviluppatori per scoprire le abitudini e i pattern di utilizzo degli utenti; lo scopo dichiarato è individuare i difetti e i problemi nel design per ottimizzare l’esperienza d’uso. Nello specifico, i sistemi di session replay iniettano nelle pagine Web un codice Javascript che trasmette ai server un’enorme quantità di dettagli su ogni sessione: i gestori del sito possono ricostruire una visita nella sua interezza, seguendo i movimenti del cursore, i clic e visualizzando tutti i caratteri digitati, compresi i dati inseriti nei moduli, perfino prima che vengano inviati.
L’analisi svolta a Princeton ha evidenziato molti difetti, punti oscuri e potenziali rischi. Innanzitutto, è significativa la mancanza di trasparenza: quasi nessuno segnala in maniera chiara che la sessione di navigazione potrebbe essere registrata. La licenza d’uso dei sistemi di session replay indica chiaramente che il loro scopo è ricavare informazioni di carattere statistico, ma nei manuali d’uso e nei forum degli utenti è facile trovare istruzioni per associare le sessioni di navigazione ai singoli utenti. La teoria e la pratica divergono in maniera preoccupante anche nella cosiddetta redaction, cioè l’insieme di tecniche per evitare la raccolta accidentale di informazioni sensibili (come password o numeri di carta di credito). Gli strumenti di redaction offrono un’ottima flessibilità, ma devono essere usati bene: vanno personalizzati per ogni singolo elemento di tutte le pagine del sito e rivisti dopo ogni modifica al codice. Una revisione così attenta e puntuale si scontra con le promesse di implementazione “in pochi secondi” sbandierate da molti prodotti: un deployment poco attento può portare alla raccolta accidentale di una grande quantità di informazioni personali, tra l’altro non memorizzate dai gestori del sito visitato ma da attori terzi. Come difendersi? In realtà è piuttosto semplice, se i software di session replay sono noti; basta attivare le liste opportune (per esempio EasyPrivacy) nel sistema di filtraggio delle pubblicità (come AdBlock o uBlock Origin) installato come estensione nel browser.