La ética del bloqueo de anuncios

La ética del bloqueo de anuncios
Eric Rand, consultor de seguridad de Brown Hat Security y blogger invitado de AlienVault
El bloqueo de anuncios se está convirtiendo en un tema cada vez más polémico en los últimos días. Es comprensible que las publicaciones no quieran que las personas bloqueen los anuncios; obtienen gran parte de sus ingresos de ellos. Los usuarios los consideran intrusivos y, a menudo, sienten que impiden el uso de un sitio; y, dado el reciente aumento meteórico de la publicidad maliciosa, los anuncios a menudo pueden volverse francamente peligrosos. ¿Dónde está el equilibrio entre los deseos de los editores y la seguridad de los usuarios?
La publicidad maliciosa es la forma en que los delincuentes aprovechan las redes de distribución de anuncios para enviar su malware a los usuarios finales. Esto es posible gracias a las múltiples partes involucradas en la entrega de anuncios (que involucran al servidor del editor a la red publicitaria a los bordes de entrega, a las personas que compran el espacio publicitario, a las empresas que comercializan anuncios y, finalmente, a los consumidores). y la naturaleza compleja de la propia red.
Las redes publicitarias están diseñadas para agilizar las operaciones tanto como sea posible, para garantizar que el dinero llegue del punto A al punto B de manera rápida y eficiente, con la menor fricción posible.

Las redes publicitarias han optado por priorizar la velocidad de las subastas de anuncios y la capacidad de entrega, así como el conjunto de funciones de los anuncios, por encima de todo lo demás, y es comprensible, ya que esto es lo que les hace ganar dinero. Cuanto más rápido y con más funciones se pueda publicar un anuncio, más valdrá para un editor (para quien es un cliente ‘premium’) y para una empresa que compra el espacio (porque es un espacio publicitario ‘premium’).
La difusión de estos anuncios ‘ricos en funciones’ se convierte en una especie de carrera armamentista; después de todo, ¿cómo se va a notar un texto antiguo o un anuncio con imágenes simples cuando su competidor ha descubierto cómo hacer que se cargue el video de reproducción automática? el contenido y se aseguró de que los espectadores tuvieran que tomar medidas positivas para descartarlo?
Pero estos espacios publicitarios ricos en funciones equivalen a una capacidad de ejecución remota de código. Permiten que un proveedor de publicidad ejecute cualquier programa que desee dentro del entorno del navegador del consumidor.
Las redes publicitarias, por supuesto, afirman que quieren garantizar la seguridad de los clientes e insisten en que «inspeccionen» los anuncios, pero la prevalencia de publicidad maliciosa en el mercado ofrece muchos ejemplos de lo contrario.
¿Cómo evitan los delincuentes los controles que supuestamente han puesto en marcha las redes publicitarias para evitar esto? A menudo, se logra comprometiendo las cuentas de los compradores de anuncios «confiables». Las empresas que compran espacio publicitario no son mejores ni peores para asegurar sus credenciales que cualquier otro usuario; pueden perder el control de sus cuentas publicitarias con tanta frecuencia como cualquier otra persona pierde el control de una cuenta de Facebook o una bandeja de entrada de correo electrónico.
Una vez que la cuenta ha sido comprometida, la ‘confianza’ que la red publicitaria tiene en el cliente puede ser utilizada por el publicista malicioso para acelerar sus revisiones de los anuncios originales después de la verificación; después de todo, sería prohibitivamente costoso que alguien revisara manualmente. cada cambio en un anuncio para cada comprador de espacio publicitario. La revisión automática también se puede engañar con bastante facilidad: la detección basada en firmas falla si hay algún cambio en la carga útil maliciosa. La revisión manual también puede fallar con bastante facilidad si el publicitario configura una página que parece legítima y luego cambia el contenido después de que ha pasado la revisión.
Entonces, ¿cómo se puede cambiar esto?
Por un lado, las redes publicitarias parecen querer cambiar esto luchando contra los bloqueadores de anuncios, entrando en una carrera armamentista en la que intentan detectar bloqueadores de anuncios y obstruirlos o culpar a las personas para que los deshabiliten.
Por otro lado, están los diversos programadores que desprecian la experiencia del usuario abarrotada de anuncios y los preocupados por la seguridad, que están muy motivados.
Esta no es una pelea que probablemente ganen las redes publicitarias.
Alternativamente, las redes publicitarias podrían intentar trabajar con los bloqueadores de anuncios, por ejemplo, entregando anuncios seguros conocidos.
La única forma de garantizar realmente la entrega segura de anuncios es restringir enormemente el contenido a texto sin formato o solo imágenes estáticas, con enlaces auditados periódicamente a dominios específicos incluidos en la lista blanca. Luego, las redes publicitarias también deben proporcionar verificaciones aleatorias al azar, a fin de garantizar el cumplimiento continuo.
Claro, estos anuncios no son tan interesantes o «premium» como los anuncios con muchas funciones que se desean, pero un anuncio «aburrido» que se publica es muy superior a un anuncio con muchas funciones que está bloqueado y nunca se muestra.
Las redes publicitarias deben juzgar qué es más importante: hacer que sus anuncios sean intrusivos y ricos en funciones, o aceptar que los usuarios necesitan una experiencia de navegación segura y exigen garantías de las redes de que su computadora no se dañará con anuncios maliciosos.
En lo que respecta a mis redes, mis términos son simples: si no puede asegurarse de que su red publicitaria esté entregando contenido seguro, lo bloquearé por cualquier medio disponible. Esto no es negociable: la seguridad de mis usuarios va mucho antes que la rentabilidad de su red en mi opinión. Si puede garantizar que solo mostrará imágenes y texto estáticos, con enlaces cuidadosamente examinados y auditados, lo desbloquearé.
Esto no es una negociación, claro, estos son los términos que exigirá cualquier administrador decente. Después de todo, las redes publicitarias necesitan a mis usuarios mucho más de lo que mis usuarios necesitan cualquier red publicitaria.
Realmente deberías seguir Eric sobre Gorjeo para obtener más información.
https://www.alienvault.com/blogs/security-essentials/the-ethics-of-adblocking