0

当我们在网页上运行 Web 工具的可访问性洞察时，从 Web 扩展中捕获/泄漏数据的风险是什么？

4

1 回答 1

2

我是 Accessibility Insights 团队的工程师。这是一个很好的问题，作为我们产品的安全性和合规性要求的一部分，我们认为这是我们团队为所有 Accessibility Insights 产品执行的威胁建模练习的一部分。

当 Accessibility Insights 扫描网页时，或者当您在评估期间输入注释或通过/失败结果时，结果将使用您的浏览器的“本地存储”和“IndexedDB”机制存储在您的计算机上本地用于 Accessibility Insights 扩展源。浏览器阻止其他扩展或页面直接读取此存储，因为它们不共享相同的来源。

扩展导出此数据的唯一点是：

  • 当您选择“导出报告”按钮时，它会将数据（可能包括页面内容的片段）导出到本地计算机上的 HTML 文件中。
  • 如果您启用“更多导出选项”预览功能，然后选择“导出报告”选项以“导出到 Codepen”，我们将创建一个 POST 请求来https://codepen.io创建一个具有与导出的 HTML 报告将包含的相同数据的新笔.
  • 当为特定问题选择“复制到剪贴板”选项时（复制的内容包括页面的相关片段）
  • 当您配置问题归档数据库，然后选择“文件问题”按钮时，这会将有关该特定问题的数据（可能包括相关页面内容的片段）导出到您明确配置的特定问题归档 URL。具体来说，该扩展程序将打开一个新标签页，其中包含如下所示的 URLhttps://github.com/your-org/your-repo/issues/new?title=GENERATED_TITLE&body=GENERATED_BODY_INCLUDING_PAGE_SNIPPET

Accessibility Insights for Web 确实包括使用情况遥测，您可以选择是在首次运行扩展程序时的提示中允许，还是稍后在扩展程序的设置中允许。但是，即使您允许遥测，我们也绝不会传输任何个人身份信息；特别是，我们绝不会传输正在扫描的 URL、正在扫描的页面中的任何内容，或您可能在“故障详细信息”或“报告摘要”提示提示中输入的任何文本内容。

Accessibility Insights for Web 是开源的；我们欢迎任何人查看我们发送的具体数据。如果您认为我们无意中包含了识别用户或正在扫描的页面的内容，请提交错误！

于 2020-06-22T23:50:06.587 回答