Ein in den Metadaten versteckter Code gestattet Elsevier, ihre PDF-Dateien sowie deren Kopien auf das ursprüngiche Nutzerkonto zurückzuführen.
Elsevier ist ein in den Niederlanden ansässiger Wissenschaftsverlag. Das Unternehmen hat sich auf wissenschaftliche, technische und medizinische Inhalte spezialisiert. Zu seinen Produkten gehören Zeitschriften, wie The Lancet und Cell oder die ScienceDirect -Sammlung elektronischer Zeitschriften. Ein in ihre PDF-Dateien integrierter individueller Code soll angeblich zum Schutz gegen Ransomware (Erpresser-Software) dienen. Dies teilt der Verlag auf Anfrage von Motherboard mit. Jonny Saunders, ein Doktorand der Neurowissenschaften an der University of Oregon, der die Praxis entdeckte, meldet allerdings Zweifel an.
Entpuppen sich PDF-Fingerprintings in PDFs als Nutzer-Überwachung?
Der Sicherheitsforscher Jonny Saunders teilte seine Entdeckung vergangene Woche auf Twitter mit. Demgemäß würde ein einzigartiger Hashwert in den Metadaten eines PDFs in Kombination mit einem Zeitstempel dafür sorgen, dass Elsevier die Quelle ausfindig machen könnte, im Falle eines unberechtigten öffentlichen Teilens oder Weitergebens ihrer PDFs. Infolge glaubt Saunders, dass der Verlag das Metadaten-Tracking als Mittel einsetzt, um seine Nutzer zu überwachen. Elsevier möchte so verhindern, dass User Forschungsergebnisse teilen, ohne das Unternehmen dafür zu bezahlen. Schattenbibliotheken wie Sci-Hub oder die Library Genesis hat der Verlag schon lange als ihre Feinde ausgemacht.
Jonny Saunders stellt klar:
„Die Behauptung, dass die eindeutigen Kennungen selbst keine personenbezogenen Daten enthalten, ist ein Winkelzug. Die Art und Weise, wie diese Kennungen funktionieren, besteht darin, dass sie später mit anderen identifizierenden Informationen abgeglichen werden können, die zum Zeitpunkt des Downloads gespeichert wurden, wie z. B. dem Fingerabdruck des Browsers, institutionellen Anmeldeinformationen usw.
Die Rechtfertigung dieser Codes als Werkzeug zum Schutz vor Ransomware ist ein klares Eingeständnis, dass diese Codes dazu gedacht sind, den Downloader zu identifizieren. Wie sollten sie helfen, wenn nicht durch die Identifizierung des kompromittierten Kontos oder Systems?“
Elsevier nicht um Ausreden verlegen
Elsevier legt bei Motherboard dar:
„Die Kennung in den PDFs erlaubt uns, Cybersicherheitsrisiken für unsere Systeme und die unserer Kunden zu vermeiden. Es werden keine Metadaten, PII [Personal Identification Information] oder personenbezogene Daten erfasst. Fingerabdrücke in PDFs ermöglichen es uns, potenzielle Bedrohungsquellen zu identifizieren, damit wir unsere Kunden informieren können, sodass sie handeln können. Dieser Ansatz wird häufig in der akademischen Verlagsbranche verwendet.“
Auf ein Nachhaken von Motherboard, was konkret sie denn mit Cybersicherheitsrisiken und potenzielle Bedrohungsquellen meinen, konkretisiert der Verlag auf Ransomware. Eine beigefügte Liste mit Links zu Nachrichtenartikeln über Ransomware sollte das wohl verdeutlichen.
Wissenschaftsverlag bekannt für Klagen wegen Urheberrechtsverletzungen
In einer im Dezember 2020 eingereichten Klage führten die akademischen Verlage Elsevier, Wiley und die American Chemical Society beispielsweise an, dass Sci-Hub und LibGen in Indien ihr exklusives Urheberrecht verletzt. Erreichen wollen sie mit dieser Anschuldigung, dass die beiden Seiten durch lokale ISPs blockiert werden.
Tarnkappe.info
