AL的评论
2009-02-18 00:03:55
我是《财富》 100强公司的律师，专门研究互联网和隐私问题。我个人认为，在某些方面，Gravatar很容易成为最差的服务
。您的数据
安全和隐私。我通常
不评论任何启用了Gravatar的博客（这是
例外），原因如下：
Gravatar提供服务的全部原因是收集多个站点的Internet使用数据。他们
不是出于他们内心的善良而免费提供的。该服务的全部
目的是分析
您浏览互联网的方式。
Gravatar有明确的计划将这些数据货币化。无论他们是否成功，都是另外一回事。
Gravatar不太可能泄露个人用户的个人信息，但这不是不可能的。中国政府
经常要求这类信息收集者披露
数据以起诉政治异见人士，而且这些请求经常得到满足，在博客作者中被判入狱（请参阅Yahoo!在中国的经历
）。例如，如果我在各种博客上留下了许多促进民主的评论
批评中国政府，那么中国政府完全有可能使用
要求信息所有者向其披露信息的法律权限。通过保留此信息
并阻止您停止收藏
，Gravatar使得
博客作者和评论者都处于危险之中。这
不仅在中国。 《爱国者法案》
和西方国家9/11后的许多其他新法规
向政府传达了类似的权力。
Gravatar服务最残酷的部分是无能为力。以
阻止他们收集您的数据。我
过去曾尝试取消Gravatar注册。 Gravatar不允许这样做
，并将在其余时间
继续跟踪您的电子邮件地址
。
Gravatar不提供有关他们如何使用您的
的任何详细信息
/>个人信息，并且
不回答与
隐私问题有关的任何疑问。
我不相信Gravatar是一项选择加入的服务。显然，除非您
进行注册，否则它们将不会显示助手，但是如果博客启用了Gravatar，则每次对其发表评论时，您的电子邮件地址就是br />发送到Gravatar。即使他们不保留此地址（很可能
保留了该地址–他们的隐私权
在这一点上也保持沉默，并且
他们没有回应任何我的
询问），很可能仍然以匿名方式跟踪您的互联网使用情况。
也就是说，如果我使用相同的电子邮件
在5个不同的Blog上发表评论的地址，即使我不是注册用户
Gravatar用户很可能已经访问了这5个博客
很多东西都是由Facebook和Google制成的。
Chrome浏览器使用了个人信息，
但是Gravatar却是我最差的流行互联网服务。
在用户（和
非用户）个人信息方面遇到的问题。
作为律师，我强烈敦促所有与博客有关的博客作者和用户
有关他们避免Gravatar的隐私的信息。
相关信息：
使用Gravatar会带来安全风险吗？
#1 楼
Gravatar是否有隐私风险？
是。
和DoubleClick / Google一样大吗？
不。值得注意的是，这些网站都使用Google Analytics（分析）。就像Gravatar一样，他们也无法访问个人身份信息（也就是说，在电子邮件被弄乱之前，它们已经被散列了）。
风险很小吗？
是的。如果您不喜欢有人指出一个无法识别的用户（即您）访问了两个不同的网站-好吧，他们现在拥有该信息。从理论上讲，可以提取这些汇总数据（就像以前的“匿名” AOL搜索数据一样）来识别您。
我们应该放弃使用gravatar服务吗？
不。对于许多人来说，这是一项有用的服务，其中许多人接受这项“免费”服务的费用。
谁在嘲笑我们？
阿米什人。
实际上，不，他们甚至不在乎。
评论
我不确定这是否是最新的，但是gravatar只是通过md5（mail）或md5（md5（mail））来散列电子邮件。电子邮件地址和RainbowTables列表的泄漏很多，可以恢复这种简单哈希的原始字符串。
–丹尼尔·W。
2014年7月31日12:38
@DanFromGermany我不认为您了解md5的安全性。它没有“完整的”彩虹表，并且从md5哈希中获取电子邮件地址绝非易事，涉及很多猜测。我可以创建一个电子邮件地址，您将永远无法从它的图像哈希中恢复该地址。
– Pollyanna
2014年7月31日在15:26
md5不安全。自2005年以来，已经发现了许多冲突。当然，这不是快速查找，它会将哈希还原为d121+2t12t-my-secret-gravatar-email@sub.yourhost.com之类的内容。但是这是谁呢？ 99.9％的人在发表评论时使用其主要电子邮件。有数十亿个已知邮件地址的列表。主要邮件帐户还具有大多数已知的模式，例如
–丹尼尔·W。
2014年7月31日15:50
@ lightswitch05 imgur图像会在一个月左右后自动删除，我们正是在此处将图像上传到Stack Exchange上，目的是保持图像并防止图像腐烂。
–影子向导正在接种疫苗
2014年12月22日在16:05
Gravatar的算法是否公开？如果是，SE不能自行完成工作（即生成图像本身并将其托管在此处，就像SE使用用户设置的头像一样）吗？
–吗？
2014年12月22日20:14
显然，您低估了gravatar.com监视任何Web用户（不仅仅是拥有gravatar帐户的用户）对Internet使用情况的能力...
–杜尔门
2015年6月10日13:30
@亚当·戴维斯（Adam Davis）：“从不”是一个概念，直到有人打破它为止。 “永远不要把话说绝了” ;）
–machineaddict
15年7月15日在9:50
我很好奇一个平均电子邮件地址的熵是多少。考虑到检查哈希的成本很低，如果猜一个电子邮件地址对于大多数用户来说很容易，我不会感到惊讶（编辑：没关系，其他人实际上在下面的答案中证实了这一点）
–user371366
17-09-27在18:01
阿米什人又要照顾什么？ 🤣我不知道自己要干什么，只是我想早日“寻找”并参观阿米什人。
– Cregox
20-10-3在1:46
#2 楼
在2009年12月，有人通过假设显示名称可能与某些主要提供商的电子邮件帐户有关，测试了从某些Stack Overflow用户获取电子邮件地址的情况。根据Gravatars的说法：为什么发布您的电子邮件的哈希值并不是一个好主意，所以假设大约有10％的SO用户是正确的：我在80871个用户列表上运行程序能够提取与他们的用户相关联的8597个电子邮件地址。这意味着对于超过10％的用户来说，用户名和图形用户名URL足以推断出他们用来注册到网站的电子邮件地址。
2013年，人们关闭了数据转储中电子邮件地址的MD5哈希值，以恢复Startups.SE用户的电子邮件地址（关闭后），以重新启动社区。同样，在2013年，有人利用类似的技术，通过利用Gravatar中的这一弱点（能够恢复电子邮件地址的MD5哈希值）来恢复大型论坛中45％的电子邮件地址。这更多的证据表明，尽管使用了哈希也可以恢复电子邮件地址。
（除此之外，我还不喜欢Gravatar之类的网络错误性质。）
评论
我认为Gravitar在这里没有太大影响。更大的问题是，帐户的用户名与另一个站点的用户名相同。您可以轻松测试我是否具有有效的yahoo | google | hotmail帐户，并跳过针对gravitar步骤的md5验证。我敢打赌，只要将电子邮件发送到任何一个单词的用户名，您就会发现更多的电子邮件帐户。
– Zoredache
2011-2-18在20:43
@Zoredache，对我而言，垃圾邮件与隐私无关（除非是针对个人的垃圾邮件，也许如此）。
– Arjan
2011-2-18在20:47
我仍然不确定我是否明白这一点。如果我能猜到您有username@gmail.com，并且想对其进行测试，为什么不直接给您发送消息呢？我可以通过发送消息来学习相同的信息，就像尝试md5（username@gmail.com）可以学习的一样。
– Zoredache
2011-2-18在20:53
好点，@ Zoredache。发送邮件时会留下一些痕迹，或者如果已发送电子邮件则会警告用户，或者如果arjan @ gmail实际上不是我（并且不是），则成功率可能会略低。但是对于很多/大多数点击而言，这确实并不重要。
– Arjan
2011-2-18在21:07
无论如何，这篇文章是有效的，我只是认为它意义不大。如果我将zoredache用作帐户名称，则可以轻易猜到我可能在所有地方都使用zoredache。引人入胜的事情只是让人们进行测试，而不必创建伪造的电子邮件帐户进行测试。
– Zoredache
2011-2-18在21:11
更新：此攻击最近在瑞典使用，攻击者仅根据Gravatar的这一弱点就设法使45％的帐户匿名。
– D.W.
2013年12月13日在8:54
（非常不错的发现，@ D.W。）
– Arjan
14年6月6日在16:37
主要的隐私问题不是gravatar.com可以跟踪显示您的图像的地方。隐私问题是，它能够跟踪查询gravatar.com的任何浏览器以显示任何gravatar图像。
–杜尔门
2015年6月10日14:06
#3 楼
IMO站点需要明智地使用Gravatar。如果您说不发布用户的电子邮件地址，则意味着您也不会发布其电子邮件地址的MD5sum。不加盐分地散布敏感数据是一个小学生错误：Web开发人员应该更了解。如果数据遭受字典攻击（即电子邮件地址），则发布某些私有数据的哈希将侵犯隐私。
只需将
address@domain替换为address+salt@domain即可。SO实际上，您可以通过设置帐户的电子邮件地址来手动执行此操作。除非您要求，否则它不会使用除gravatar之外的其他任何地址，因此它不必确实是您的电子邮件地址。
我敢肯定这是偶然的，而不是安全功能，因为SO在没有电子邮件地址的情况下也会使用您的IP地址。 IP地址比电子邮件地址更容易遭受字典攻击。
当然，为了使盐有效地防止Gravatar在各个站点之间跟踪您，Gravatar不必知道其背后的电子邮件地址（因为它确实知道，它可以合并
address+*@domain的记录）。这意味着（a）您必须带有随机图标，因此（b）用户应该能够指定他们是否要添加盐。如果您的电子邮件提供商不支持+ salt，并且您希望该站点能够在不发布电子邮件地址哈希值的情况下向您发送电子邮件，那么您通常不走运：您可以拥有一个或另一个。 br /> 实际上，我想说的是，理想情况下，站点应默认为仅为每个用户生成随机的“ md5sum”，并且仅使用电子邮件地址生成具有许可权的Gravatar URL。对于不希望将图像上传到图像上的用户，没有任何尘世的理由为什么任何站点都应该基于所谓的私有数据使用图像上的URL。除非您将对基本安全原则的无知视为“原因” ;-)
评论
理想情况下，站点应默认为仅生成随机的“ md5sum”-太好了！也许是一种不太安全的替代方法，作为一种快速的解决方法，它可能是自动添加众所周知的盐（例如+ stackoverflow），然后告诉用户使用支持加地址的电子邮件提供商（en.wikipedia.org/wiki/E -mail_address＃Sub-addressing），然后如果他们想自定义头像，则为该“带盐”的地址注册一个Gravatar。不是很完美，但是不需要更改数据库和接口。
– Arjan
2010-4-1 9:06
尽管如此，第三方头像网站仍可以跟踪使用其头像的网站上任何访客的行踪（与用户活动不同）（尽管Gravatar告诉浏览器使用5分钟的缓存，因此目前无法找到-他们的日志中的细粒度数据）。
– Arjan
2010年4月1日在9:11
@Arjan：当然，它仍然是一个网络错误，仅凭盐就很难推断出各个站点之间的链接，并且不可能反向。网站外的任何内容都是Web错误：twitter提要窗口小部件，广告内容等。如果用户希望避免该错误，则可以阻止从该网站加载图像或通过TOR将其重定向。可能网站在其隐私权条款和条件中说或暗示他们不会将博客出售给出价最高的人，请在星号上加上星号并注明有效地将所有博客免费通过图标免费赠送给了Gravatar。
–史蒂夫·杰索普（Steve Jessop）
2010年4月1日，11：20
声誉良好的人请对此答案进行投票。它直接说明了核心问题之一，并提出了合理的对策（尽管仅适用于Web开发人员）。谢谢。 :)
–马特·威尔基
10-4-4在5:07
在这里使用盐根本没有用。为了使Gravatar“服务”正常工作，它在网络上所有各个站点上获得的标识符都必须相同，因此在每种情况下都必须使用相同的盐，并且很难保留它。或来自美国国家安全局（NSA）或中国人的机密。
–mc0e
2013年9月25日，下午1:28
@ mc0e：不正确。 Gravatar用于两个不同但相关的目的：（1）生成伪随机头像，（2）在多个站点上使用相同的头像。对于尊重用户隐私的网站，只要用户没有其他要求，第一个就足够了。这就是为什么我说：“对于不希望将图像上传到图像上的用户，没有任何尘世的理由为什么任何站点都应基于所谓的私有数据使用图像上的URL。”
–史蒂夫·杰索普（Steve Jessop）
2013年9月25日在11:23
@Steve Jessop：要点，但是在那种情况下为什么要在构造gravatar的标识符字符串时完全使用电子邮件地址呢？
–mc0e
2013年9月30日6:28
@ mc0e：为什么如此？这就是为什么我的回答是：“实际上，我想说的是，理想情况下，站点应该默认为每个用户只生成一个随机的“ md5sum”，并且仅使用电子邮件地址生成具有许可权的Gravatar URL。
–史蒂夫·杰索普（Steve Jessop）
2013年9月30日18:22
如果盐落入不正确的人手中，则您需要更改每个头像或使自己容易受到伤害。好的答案，虽然。我决定只将MD5用户ID设置为公开ID，因为它是公开的。它为他们提供了精美且独特的头像，并且其ID是他们无法更改的一件事（与电子邮件和用户名不同）。
–rybo111
16-3-14在22:47
如果它是所有用户的固定号码，则不是“盐”。
–好奇
18年6月27日在4:38
#4 楼
作为提供类似服务的人（但是规模要小一点），我不得不说，有时我自己担心如果需要的话我可以从访问日志中提取什么样的信息。另一方面，每当我在某个博客上发表评论，加入论坛或其他活动时，提供个人电子邮件地址都是我自己的选择。如果我对此感到担心，我可以a）完全不加入，b）不提供电子邮件地址（如果网站允许，如SO那样），或c）为此目的创建一个额外的电子邮件地址。
所以我的观点是：这与数据收集带来的任何其他隐私问题无关，无论是PayPal知道您在哪里购物，myOpenId知道您在哪里登录还是Google知道……这都是更大或更小的问题。好吧，一切。
这并不是说它可以忽略，但是我不认为Gravatar是特例。
评论
对于PayPal和OpenID，一个明确选择使用它。我认为没有任何PayPal或启用OpenID的网站可以在仅查看页面时发送有关其用户的哈希信息。但实际上，对于Google Analytics（分析）等，此类详细信息未经明确同意即发送。但是，对于Gravatar等人来说，网站所有者可以决定何时开始使用它，然后将现有和新用户（不一定是当前访问者）的哈希详细信息发送给该第三方...
– Arjan
2010-3-31在18:35
@balpha-您只是想让SOFU切换到您的服务！咨询-如果您不属于解决方案，则可以赚很多钱来延长问题的持续时间。
– Pollyanna
2010年4月1日，下午1:34
嗯，所以您今天与Jeff等人合作以获取更多数据？今天Google Apps的配额如何？ ;-)
– Arjan
2010年4月1日在6:57
“提供我的个人电子邮件地址是我自己的选择。”问题是您在数据基础不足的情况下做出了选择。许多网站声称您的电子邮件将永远不会被发布，但仍会使用gravatar。
– CodesInChaos
2012年3月9日12:00
“除了数据收集带来的任何其他隐私问题之外，这没有比它更大或更小的问题”，除了Stack Exchange在数据转储中公开MD5哈希列表。根据“有人通过电子邮件与我联系，但我的电子邮件不公开”的答案，可能只需3天就可以从主要电子邮件提供商处获取所有字符数少于或等于10个字符的电子邮件地址。
– Arjan
2013年12月21日10:45
@Arjan是正确的（这是我们最近开始解决的问题），但与这个问题的主题无关。
– balpha
2013年12月21日在11:51
是的，Balpha，感谢您的参考。
– Arjan
2013年12月21日上午11:59
主要的隐私问题不是gravatar.com可以跟踪显示您的图像的地方。隐私问题是，它能够跟踪查询gravatar.com的任何浏览器以显示任何gravatar图像。
–杜尔门
2015年6月10日14:05
#5 楼
抢占电子邮件地址（MD5哈希）实际上是在制作一个可以公开识别您的身份的ID。即使您从未使用Gravatar进行注册，他们仍然会跟踪您输入的ID-并且使用Gravatar的网站正在向所有用户提供该ID。可以在其他站点上找到此ID，因此，如果某人在所有公共Internet论坛上进行了完整的可传递搜索，则他们可以看到相同ID所发布的内容。隐私遭到破坏的地方是，如果所有这些网站都知道您的真实电子邮件地址，并向所有人公开提供了您的Gravatar ID，则中国政府（例如）不仅可以骚扰一个实体，还可以骚扰发布该网站的任何一个您的Gravatar ID。对我来说，更有意义的是，如果您注册时Gravatar只是向您“赠送”了一个标识符。而且，当您要使用Gravatar时，只需将相同的ID赋予使用Gravatar的网站即可。
未经您同意就使用Gravatar的网站应归咎于这些。 Gravatar的用户群因这一原则而增长（这是他们的业务模型-人们想要与其最新帖子相关的图片）。
我希望人们会首先尝试理解这个概念。此处的另一张海报通常是正确的，因为如果有人真的想找出您的真实身份，他们可能会这样做，但是Grav ID使其更容易。您会看到Grav ID对应的彩虹表何时出现（例如，一个允许您输入gravid的网站，它将告诉您所有使用该GravID的URL。）
我只是想到了保护重力的另一种方法-他们本可以使用PKI而不是散列。如果PKI带有基于时间的或基于实例/站点的盐，则该ID将无法被外部人员标准化。实际上，对Gravatar感到羞耻的原因是他没有考虑到这一点。他们将声称这与他们所支持的语言对加密API的访问有关，但是我现在先发制人地胡说八道。
评论
即使每个站点的哈希值都不同，图像也会相同。将图片上传到Google，它将在其他网站上找到其他实例。
–rybo111
16 Mar 17 '16 at 9:17
等等，免费服务之间的权衡取舍是“便利隐私”吗？ 🤔这可以很快解决问题，但是我很好奇您为什么对它感到恼火...因为“隐私泡沫”对我来说是一个巨大的话题cregox.net/privacy-（免责声明：我个人请使用gravar，因为我真的不关心每个人对隐私的担心。请，甚至不要试图用其他方式说服我（🙂）。
– Cregox
20-10-3在0:45
#6 楼
Gravatar的一个问题不能通过阻止服务器来解决。您所使用的网站发布了电子邮件地址的哈希值。至少可以找到使用相同电子邮件地址的其他网站。
查看2011年1月堆栈的Exchange数据转储：
105k独特的Gravatar散列
10k基于IPv4，可以轻松找到IP地址
其中至少27k如此简单，可以被猜到。这不需要昵称和地址之间的关系，而只是使用通用模式（例如
firstname.lastname@gmail.com）构建电子邮件地址。Stack Exchange不验证电子邮件地址，因此其中一些无效。由于伪造的地址很难猜测（请参见
gdsfgsdf.sdfadf.com等），因此我假设，如果我们使用有效的地址作为基础，则可猜测的地址所占的百分比甚至更大。所有这些甚至适用于那些谁尚未在Gravatar注册帐户。
许多网站（包括Stack Overflow）都承诺不发布您的电子邮件地址，但同时使用Gravatar并因此泄漏有关他们承诺的有关电子邮件地址的信息。保密。如果网站坚持使用Gravatar，则至少应告知用户该电子邮件地址已发布，而不是对用户撒谎。
评论
就像我的答案中提到的那样：如果用户名与电子邮件地址相关，则可以收集（或验证为正确）10％的Stack Overflow电子邮件地址。
– Arjan
2011-3-25在10:10
您也可以尝试两个单词的组合以及其他一些字典攻击。这样一来，您将获得10％以上的收益。
– CodesInChaos
11 Mar 25 '11 at 13:04
基于IP的gravatars现在已经腌制，因此解决了一个问题。
–杰里米
2012年3月9日19:39
关心您是否对27k firstname.lastname@gmail.com用户进行了扩展？像：那些使用“姓氏”作为显示名称的人，并且碰巧拥有匹配的电子邮件地址吗？还是*.*@gmail.com模式足以从哈希中获取27k地址？ （在第一种情况下，垃圾邮件发送者可能甚至都不希望验证地址是否与哈希匹配，而只是假设地址存在，但这当然与隐私无关。我仍然很高兴我不是arjan @ gmail ...并且：不错的概述，谢谢！）
– Arjan
2012年3月9日在20:07
我尝试了几种模式，这些模式使用了不同的单词列表，常见的姓氏/名字列表，SO用户名，随机字符，数字以及它们在常见电子邮件提供商上的组合。显然是所有IPv4地址。获得首20k相当容易，此后与之前发现的电子邮件有很多重叠，搜索变得越来越昂贵。
– CodesInChaos
2012年3月9日在20:18
一个有趣的花絮：
– SamB
2012年10月10日19:52
#7 楼
评论
海报是律师还是狗，对我而言并不重要。这是陈述本身，我想反思而不是其来源。
–马特·威尔基
2010-10-20在0:02
@mattwilkie Yaw叫我一个dawg？
–玛蒂·乌尔哈克
2012年1月4日下午5:58
@MatB，用缺少版权声明的imgur.com版本替换图像，并链接到源，我想这不符合该版权吗？ （但这确实使作者更容易找到该网站。）乔恩（那个网站，mtncartoons.com）声称“通常是100美元的时事通讯，50美元的网络使用费。”我想我们应该删除这个答案吗？
– Arjan
2012-2-26在6:58
哦，应该读为：@SamB。 （而且，以前的版本是该站点的深层链接，我认为对于作者来说很容易找到。不过，我觉得删除版权声明会使情况变得更糟。）
– Arjan
2012年3月9日20:08
@Arjan：由于链接直接指向具有其他版本的页面，并且通知不再是任何权利的前提，因此我不确定这会使情况变得更糟。无论如何，我可以（尝试）将其更改为作者服务器上实际存在的该版本图像的副本（尽管路径非常奇怪），或者您可以将其更改为使用其他版本，如果这样的话你感觉好点。
– SamB
2012年10月10日19:28
#8 楼
转载自https://webapps.stackexchange.com/a/30605/11058不要给Gravatar提供您的电子邮件和头像。无论您是否信任Gravatar Corp，网站所有者都很容易粗心大意地背叛以假名发布的用户的身份。一个警告性的故事：
沙特阿拉伯的Hashim偷偷读了一个关于同性恋的美国博客。有一次，该博客讨论了中东问题，因此Hashim发表了描述自己经历的评论。他小心翼翼地使用假名“ bin Elton”来保护自己的身份。但是，博客软件Wordpress也需要一个电子邮件地址。该软件承诺“您的电子邮件地址不会被发布”。 Hashim信任博客所有者，并且不键入任何电子邮件地址。完全没有风险，他的电子邮件甚至都不包含他的真实姓名。
两年后，Hashim用他的真实姓名注册了Stack Overflow。他向Gravatar提供了他的电子邮件和头像。
Hashim并不为人所知，在2011年，Wordpress决定在他们的平台上安装Gravatar，以使其更具“社交性”。肖像被添加到新评论中，但也被添加到数百万个存档评论中。 （Wordpress认为这不是隐私问题，因为电子邮件地址是秘密的）。因此，哈希姆的画像现在在本·埃尔顿的故事旁公开显示。
#9 楼
请注意，DoubleClick（现在为Google）已经收集了很长时间的此类使用情况数据。如果您担心此问题，请使用浏览器或主机文件来阻止对Gravatar服务器的所有访问。这将使他们无法跟随您。
评论
如果他拥有类似Unix的桌面或任何类型的代理，他甚至可以将所有引荐来源网址剥离到gravatar.com并仍然看到漂亮的图片。 zh.wikipedia.org/wiki/HTTP_referrer#Referrer_hiding
– Perbert
2010-03-31 17:55
或将其替换为独角兽网址=）*等待中国独角兽敲门*
–托马斯·博尼尼（Thomas Bonini）
2010-3-31在18:02
@Kop-嘿，杰夫跟随了你的想法！
– Pollyanna
2010年4月1日，0：16
这将有什么帮助？如果我作为个人用户阻止我的计算机访问gravatars服务器，它们是否仍从我要发表评论的使用gravatar的网站上获取我的电子邮件地址或哈希？
–马特·威尔基
10-4-4在5:32
#10 楼
这些关注点是真的吗？
是的，出于此页面其他答案中给出的原因。
，如果是的话，该怎么办？可以采取防御措施吗？
请考虑使用Electronic Frontier Foundation（EFF）的Privacy Badger浏览器插件，该插件有助于抵御Gravatar和类似服务的跟踪。 >
Privacy Badger是免费软件。
#11 楼
第6点不适用，因为显示Gravatar的网站不会发送原始电子邮件地址。他们仅发送MD5哈希。这是API文档。但是，如果用户错误地将其电子邮件发布到某个地方，则可以撤销gravatar.com帐户的电子邮件哈希。第4点不是主要问题。
无论如何，主要的隐私问题不仅限于gravatar.com注册用户。它适用于浏览使用凹版印刷网站的任何Web用户。这是因为gravatar.com从您访问的显示凹版印刷的每个页面上获取HTTP查询。 gravatar.com会尽一切努力强制浏览器每次获取图像并绕过缓存。是的，gravatar.com是邪恶的。
您可以自己检查：
$ curl -I https://secure.gravatar.com/avatar/70d9b050bfe39350c234d710fadfcd39?s=130
HTTP/1.1 200 OK
Server: nginx
Date: Wed, 10 Jun 2015 13:40:27 GMT
Content-Type: image/jpeg
Content-Length: 6226
Connection: keep-alive
Last-Modified: Fri, 18 Mar 2011 13:20:45 GMT
Link: <https://www.gravatar.com/avatar/70d9b050bfe39350c234d710fadfcd39?s=130>; rel="canonical"
Content-Disposition: inline; filename="70d9b050bfe39350c234d710fadfcd39.jpeg"
Access-Control-Allow-Origin: *
Accept-Ranges: bytes
X-Varnish: 500790784 498172644
Via: 1.1 varnish
Expires: Wed, 10 Jun 2015 13:45:27 GMT
Cache-Control: max-age=300
Source-Age: 592
缓存仅启用5分钟（请参阅
Expires）。您是否知道许多用户每年至少更改一次自己的头像（这是短缓存的唯一用例）？我不。短缓存仅启用了对您的跟踪。因此，您对gracotar.com可以跟踪您对stackexchange.com，github.com，wordpress.com（以及其他许多文件）的访问，并且他们能够可以像Google Ads，Google Analytics（分析），Twitter / Facebook之类的按钮一样跟踪您在这些网站上的情况。
这就是Ghostery阻止Gravatar的原因。
#12 楼
鉴于最近转用Unicornify，我相信这个问题可以在状态完成后解决。评论
更不用说现在Google和balpha知道哪个化身是通过哪个IP地址下载的...
– Arjan
2010年4月1日在9:09
@Arjan：SO已经具有Google Analytics（分析），因此Google已经知道谁点击了哪些页面。如果他们想知道哪个图标在哪个页面上，则只需刮一下页面即可，它们都不是私有的。所以balpha是这里最大的赢家:-)
–史蒂夫·杰索普（Steve Jessop）
2010年4月1日上午11:25
@Steve，这里不允许Analytics（分析），但突然间Unicornify吸引了我。 ;-)糟糕的balpha已将缓存设置为一天！
– Arjan
2010年4月1日在11:43
“此处不允许使用Google Analytics（分析）”-好的，我确定Google可以发送忍者闯入SO的服务器机房并窃取日志以填补空白。如果他们需要知道。
–史蒂夫·杰索普（Steve Jessop）
10-4-4在1:40
您能否进一步说明Unicornify如何/为什么将其带入SO的已完成状态？同样，Q在更广泛的非SO环境中仍然有意义。
–马特·威尔基
10-4-4在5:19
我曾尝试搜索“ Unicornify”，但现在我不确定该近似名称的目标网站。我认为它是粉红色和闪光的，但是添加一个链接来阐明将很有帮助。
–纳特
19年3月4日在15:00
@Nat是unicornify.pictures，这是由SO最资深的开发人员之一在工作时间之外编写的一种有趣的服务。 （即与SE没有直接关系）
–影子向导正在接种疫苗
19 Mar 4 '19在15:32
无论如何，这是一个笑话，如今只有很少的人会理解，不确定我们是否需要保留它。
–影子向导正在接种疫苗
19 Mar 4 '19 at 15:33
首先，我欢迎我们新的“推动一切乐趣和历史”霸主。
– Pollyanna
19 Mar 5 '19 at 19:41
#13 楼
Gravatar有隐私风险吗？ WT *我意识到这些帖子已经很老了，但是我对此和类似主题上的一些海报所表现出的偏执狂感到沮丧。
当然，在当今时代，谨慎的行为会自觉地获得/维护一些无关紧要的电子邮件帐户，甚至为他们提供的服务也更少。因此，谁在乎是否有人没有生命并且拥有强大的计算机功能（和黑客软件）最终会从哈希中找出地址。
如果免费（可能）邮件帐户的名称部分（ s）大多是gobbledygook，这使得哈希解析/匹配更加困难。而且，如果您使用简单，真实的单词，名称或数字作为密码来启动，则必须接受您确实很愚蠢。但是，归根结底，偏执狂更令人担忧（而且所谓的“律师挑剔”就是大量的表单提交检查（也就是出色的“ aKismet”），以及在许多您甚至都不知道的网站上使用的通用RBL访问阻止程序/重定向（确实如此）除非您实际上是各种垃圾邮件发送者。
所有这些人都依赖并接收他们全部或部分依赖的电子邮件地址和IP地址。是像Gravatar这样的前期服务，在其他人可以追踪FAR的情况下，要比在这里和那里的几个站点显示头像照片的信任度低。我认为不是。
在我们浏览它的同时，获取适用于您浏览器的Ghostery附加组件，然后看看要花多少个月才能充分利用（阻止）大量的受到骚扰的第三方跟踪Cookie。
发现一个人有意识地提供的仅仅一个电子邮件地址，与我提到的所有情况都没有任何关系，如果收获了其中的任何一个，也可以打包出售给他人以牟利。任何获利的网站，尤其应该在易于访问的隐私声明中声明所有内容；是你的吗？
评论
另请参阅meta.stackexchange.com/questions/4553/non-gravatar-avatar/…关于隐私的一些想法...@Arjan：另一位主要（仅？）谈论了恶意用户从MD5哈希获取我们的电子邮件地址的方法。这谈到了墓碑本身就是邪恶的。
至于3），那真的很糟糕。在许多站点上，我可以在发表评论时使用任何电子邮件地址，甚至根本不是我的地址。我宁愿政府对此采取行动。 ：-（（有关Yahoo!事件的更多信息，请访问news.bbc.co.uk/2/hi/4221538.stm）
并非为了最大程度地减少问题，但使用互联网存在隐私风险。
＃6是错误的。 Gravatar仅会获取您的电子邮件地址的MD5摘要。
这是Automattic的隐私政策：automattic.com/privacy
@Brad：MD5是否在发布之间更改？
@mmyers（如果您是更改电子邮件的未注册用户），是的。
@Downvoter-你输了。此外，如何使Gravatar隐私问题不在meta主题上？
我看到我们已经切换到Unicornify。但这可能是因为现在是UTC的4月1日。
@mmyers-在UTC午夜前一两个小时切换。杰夫可能无法控制自己。我可以想象他现在在胡乱地咯咯笑。
@Polly：我想你的意思是“疯狂地”。虚假的意思是没有根据或没有根据。
当心跟随该链接到onemansblog。我的防病毒软件阻止了一个名为JS：Redirector-MA [Trj]
的特洛伊木马。
看来现在的问题比最初发布该问题时要严重得多。 arstechnica.com/security/2013/07/…
总结上述@GordonM发现的Arstechnica文章“在Github之类的网站上拥有一个帐户？黑客可能知道您的电子邮件地址”：从一个Gravatar哈希中提取一个人的电子邮件地址变得越来越容易（45％来自在一天左右的时间里建立一个论坛）。如果知道您的电子邮件地址对您有风险，那么Gravatar就是有风险的。