Gravatar и приватность. Что не так с Gravatar?

Gravatar - сервис, одинаково генерирующий аватарки везде, где его используют, будь то чаты, комментарии, в том числе и на моем сайте (уже нет). Только вот блокировщик рекламы считает этот сайт крайне опасным и неплохо бы разобраться, как так вышло.

Коснулось это прежде всего моего блога, ибо мой блокировщик рекламы, трекеров и пр. напрочь удалял с моей системы комментариев аватарки, загруженные с сайта gravatar.com. При попытке залезть на этот сайт меня предупреждало о том, что сайт ахренеть как опасен.

Справедливости ради следует отметить, что некоторые списки блокировок для своего блокировщика рекламы я добавил сам и сайт gravatar.com полностью заблокирован одним из этих списков, а именно агрессивным списком “Tracking Aggressive”, удаляющий отслеживания, геотаргетинг и рекламы, но при этом ломающий некоторые сайты, из-за чего он не рекомендуется обычным пользователям.

Просто так сайты в такие списки не попадают, однако, честно говоря, по началу я забил на этот факт, ибо кроме изображения я с сайта gravatar.com ничего не получаю, а следовательно, бояться нечего. Однако позже, когда мне захотелось найти более разнообразный аналог граватаркам, дабы заменить их в исходном коде своей системы комментариев, я, вдруг, наткнулся на такой аналог, как Libravatar.

Само существование этого свободного проекта (особенно с приставкой “Libr”) по моему опыту очень хорошо говорит о том, что с сайтом gravatar.com действительно что-то не так, раз есть необходимость в самой такой альтернативе, ибо этот проект полностью повторяет все функции API на столько, что для того, чтобы заменить в своей системе комментариев Gravatar на Libravatar, достаточно просто найти и заменить вот этот кусок адреса:

www.gravatar.com/avatar/

на вот этот:

seccdn.libravatar.org/avatar/

что я и сделал уже забив на разнообразие типов генерируемых аватарок.

Поделившись своими опасениями у себя на мастодоне, мне сразу же и поведали, что не так, а конкретно:

фактически граватар знает каждый сайт где ты был, а это тотальная слежка, год назад когда осознал это снес там аккаунт

Что в принципе логично, ибо граватар запрашивает хэш сумму MD5, сгенерированную из вашего адреса электронной почты. С одной стороны сайт gravatar.com может так и не узнать ваш email, а с другой владельцу сайта gravatar.com известны сайты, на которых один и тот же пользователь с одним и тем же адресом электронной почты (одной и той же хэш суммой) оставляет комментарии. Кроме комментаторов есть и обычные пользователи, айпишники которых вроде как тоже палятся, но те, зачастую, сидят за NAT, что не всех обнадеживает.

Для защиты от такой слежки достаточно, как мне подсказали, “сделать просто скрипт-прокси на своём сервере, который будет перенаправлять запросы на Gravatar”. И прикол в том, что проект Libravatar и служит тем самым скриптом, который перенаправляет запросы на gravatar.com, в результате чего сайту gravatar.com больше неизвестно об этом блоге. Ему известно лишь о запросах с libravatar.org и все, с чем я вас и поздравляю.

Upd 31.03.2022:
Как позже выяснилось, Libravatar таки умеет генерировать аватарки и без Gravatar, а прокси на gravatar.com предназначено для загрузки аватарок только в случае, когда пользователь уже был зарегистрирован на gravatar.com и поставил там свое изображение. То, что Libravatar грузил с Gravatar все аватарки подряд было багом, который разработчики в итоге исправили.

По ходу написания данной статьи я также обнаружил, что о методах слежки Gravatar за пользователями известно такому сервису, как Terms of Service; Didn’t Read, который в свою очередь обращает внимание на конкретные важные пункты условий использования. То есть по сути, уже в условиях использования сервиса Gravatar описано то, как он за вами следит, включая ваш цифровой отпечаток и сбор информации о вас из сторонних источников. Подробнее читайте здесь.

О Gravatar также пишут и на хабре здесь и здесь. Конкретно во второй статье говориться о том, что хэш MD5 таки можно дешифровать и, таким образом, извлечь email адрес, а вот первая, если я правильно понял, касается в основном уже зарегистрированных на gravatar.com пользователях ради того, чтоб на сайтах вместо сгенерированных аватарок были их собственные, ибо они оставили о себе куда больше данных, чем просто хэш их адреса эл. почты, а gravatar.com в свою очередь оставил удобную лазейку для получения этих персональных данных.

Учитывая все вышеизложенное, я хочу призвать всех разработчиков заменить Gravatar на Libravatar, учитывая также и то, что Libravatar - федеративный проект, а значит взаимосвязан со всеми, кто данный проект хостит. По идее это значит, что зарегистрировав свою учетную запись на одном из хостов и поставив свою аватарку, ваша аватарка будет доступна и на других хостах этого проекта, а значит и на всех сервисах, поддерживающих Libravatar, какой бы из хостов они не использовали. По идее…

К слову, я уже зарегистрировал учетную запись на libravatar.org и теперь вместо сгенерированной аватарки у меня показывается своя собственная.

Также, если кому интересно, я нашел аналог граватару с уже более разнообразными типами генерируемых аватарок - DiceBear Avatars. Но так как у данной системы собственный HTTP API, то и встраивать данную систему так просто вместо Gravatar, как это получилось с Libravatar не выйдет. К тому же аватарки хоть и красивые, но в подавляющем своем большинстве представляют собой человеческих персонажей и вот уж будет неприятно, когда напишет комментарий парень, а для него сгенерируется аватарка девушки.

А может и приятно…

В любом случае предусматривать форму для указания своего пола как-то излишне для моего блога, трудозатратно, да и “где 100500 гендеров?”. Если у вас сайт, блог, где это указывать уместно, то милости прошу, пользуйтесь! API этой системы предусмотрело указание пола.

Пожалуй на этом все. Как всегда надеюсь, что статья была кому-нибудь да полезна.

 07.02.2022