Jeśli masz wścibskiego sąsiada, może odkryć Twój sekretny przepis. Największe obawy dotyczące prywatności związane z plikami cookie istnieją już od jakiegoś czasu, ale dzięki internetowi to się zmieniło. Chociaż zwykłe pliki cookie przeglądarek są często pomocne i łatwe do usunięcia, istnieją inne, które zostały zaprojektowane tak, aby pozostać w użyciu. Dwa z nich, supercookies i zombie cookies (często nazywane „evercookies”), mogą być szczególnie trudne do usunięcia. Na szczęście nie pozostały niezauważone, a przeglądarki ewoluują, aby zwalczać te podstępne techniki śledzenia.
Szybkie linki
Superciasteczka
Termin ten może być nieco mylący, ponieważ odnosi się do wielu różnych technologii, z których niektóre to po prostu pliki cookie. Ogólnie rzecz biorąc, odnosi się on jednak do wszystkiego, co zmienia Twój profil przeglądania, aby zapewnić Ci unikalny identyfikator. W ten sposób pełni tę samą funkcję co pliki cookie, umożliwiając stronom internetowym i reklamodawcom śledzenie Cię, ale w przeciwieństwie do plików cookie, nie można go usunąć.
Termin „supercookie” często można usłyszeć w odniesieniu do nagłówków unikatowego identyfikatora (UIDH) oraz jako stałą w protokole HTTP Strict Transport Security (HSTS), chociaż pierwotny termin odnosił się do plików cookie. pochodzące z domen najwyższego poziomuOznacza to, że plik cookie można ustawić dla domeny takiej jak „.com” lub „.co.uk”, dzięki czemu będzie go mogła zobaczyć każda witryna internetowa z rozszerzeniem .co.uk.
Jeśli Google.com ustawi supercookie, będzie on widoczny dla każdej innej witryny z rozszerzeniem „.com”. To oczywisty problem prywatności, ale ponieważ nie są to tradycyjne pliki cookie, wszystkie nowoczesne przeglądarki domyślnie je blokują. Ponieważ nikt już nie mówi o tym typie supercookie, zazwyczaj częściej słyszy się o pozostałych dwóch.
Unikalny adres identyfikacyjny (UIDH)
Unikalny adres identyfikacyjny w ogóle nie istnieje na Twoim komputerze – występuje między Twoim dostawcą usług internetowych (ISP) a serwerami witryny. Oto jak to zrobić:
Wysłano do dostawcy usług internetowych prośbę o udostępnienie witryny internetowej.
Zanim Twój dostawca usług internetowych przekaże żądanie do serwera, dodaje do nagłówka żądania unikalny ciąg identyfikacyjny.
Ten ciąg znaków pozwala stronom internetowym rozpoznać Cię jako unikalnego użytkownika podczas wizyty, nawet jeśli usunąłeś ich pliki cookie. Gdy już Cię poznają, mogą po prostu ponownie zainstalować te same pliki cookie w Twojej przeglądarce.
Mówiąc prościej, jeśli Twój dostawca usług internetowych korzysta ze śledzenia UIDH, które wysyła Twój osobisty podpis do każdej odwiedzanej przez Ciebie witryny (lub do osoby, która zapłaciła Twojemu dostawcy usług internetowych)Środek ten jest przydatny głównie w celu zwiększenia przychodów z reklam, ale jest na tyle uzasadniony, że FCC może go nałożyć 1.35 miliona dolarów na Verizon Ponieważ nie poinformowano o tym swoich klientów i nie dano im możliwości rezygnacji.
Poza Verizonem, niewiele jest danych na temat firm korzystających z informacji UIDH, ale sprzeciw konsumentów sprawił, że strategia ta stała się w dużej mierze niepopularna. Co więcej, działa ona tylko w przypadku niezaszyfrowanych połączeń HTTP, a ponieważ większość stron internetowych domyślnie korzysta z protokołu HTTPS, a rozszerzenia takie jak HTTPS Everywhere można łatwo pobrać, ten supercookie nie stanowi większego problemu i prawdopodobnie nie jest powszechnie używany. Jeśli zależy Ci na dodatkowej ochronie, skorzystaj z VPN. Gwarantuje to, że Twoje żądanie do strony internetowej zostanie przekazane bez dołączonego UIDH.
Ścisłe zabezpieczenia transferu HTTPS (HSTS)
To rzadki typ supercookie, którego nie zidentyfikowano w żadnym konkretnym miejscu, ale najwyraźniej był on wykorzystywany, ponieważ Apple złamało zabezpieczenia Safari, Wskazując na potwierdzone przypadki ataku.
HSTS to w zasadzie dobra rzecz. Pozwala przeglądarce bezpiecznie przekierować do wersji HTTPS witryny zamiast niezabezpieczonej wersji HTTP. Niestety, można go również użyć do utworzenia supercookie, korzystając z poniższego przepisu:
Utwórz wiele subdomen (np. „domena.com”, „subdomena2.domena.com” itd.).
Przypisz każdemu odwiedzającemu Twoją stronę główną losowy numer.
Zmuszaj użytkowników do ładowania wszystkich Twoich subdomen, dodając je w niewidocznych pikselach na stronie lub przekierowując użytkownika przez każdą subdomenę podczas ładowania strony.
W przypadku niektórych subdomen poinstruuj przeglądarkę użytkownika, aby użyła HSTS do przełączenia się na wersję bezpieczną. W przypadku innych pozostaw domenę jako niezabezpieczoną HTTP.
Jeśli polityka HSTS subdomeny jest włączona, przyjmuje się, że ma wartość „1”. Jeśli jest wyłączona, przyjmuje się, że ma wartość „0”. Stosując tę strategię, witryna może zapisać losowy identyfikator użytkownika w formie binarnej w ustawieniach HSTS przeglądarki.
Za każdym razem, gdy użytkownik powraca, witryna sprawdza ustawienia HSTS przeglądarki użytkownika. Na ich podstawie zwracana jest ta sama liczba binarna, która została wygenerowana pierwotnie i identyfikuje użytkownika.
Brzmi to skomplikowanie, ale w istocie chodzi o to, że strony internetowe mogą wykorzystywać Twoją przeglądarkę do tworzenia i zapamiętywania ustawień bezpieczeństwa dla wielu stron. Dzięki temu przy Twojej następnej wizycie strony będą wiedziały, kim jesteś, ponieważ nikt inny nie ma dokładnie takich samych ustawień.
Apple już opracowało rozwiązania tego problemu, takie jak zezwolenie na konfigurację ustawień HSTS tylko dla jednej lub dwóch głównych nazw domen na witrynę oraz ograniczenie liczby dozwolonych przekierowań. Inne przeglądarki prawdopodobnie stosują te środki bezpieczeństwa (tryb incognito w Firefoksie wydaje się pomagać), ale ponieważ nie ma potwierdzonych przypadków takiego zdarzenia, nie jest to priorytetem dla większości użytkowników. Możesz wziąć sprawy we własne ręce, zmieniając niektóre ustawienia i ręcznie usuwając zasady HSTS. Ale to tyle.
Ciasteczka zombie/Evercookies
Ciasteczka zombie są dokładnie tym, na co wyglądają – ciasteczka, które wracają do życia, gdy myślisz, że zniknęły. Być może spotkałeś się z określeniem „evercookies”, co niestety nie jest odpowiednikiem ciasteczek Gobstopper.
„Evercookie” to tak naprawdę Interfejs API JavaScript stworzony w celu zademonstrowania liczby różnych metod Pliki cookie mogą zbierać informacje o próbach usunięcia.
Pliki cookie typu zombie nie są usuwane, ponieważ ukrywają się poza standardowym magazynem plików cookie. Lokalna pamięć masowa jest głównym celem (Adobe Flash i Microsoft Silverlight są używane tam, gdzie często się to zdarza), ale niektóre pliki HTML5 również mogą stanowić problem. Pliki cookie „aktywne” mogą znajdować się w historii przeglądanych stron lub w kodach kolorów RGB, które przeglądarka akceptuje w swojej pamięci podręcznej. Wystarczy znaleźć jeden z ukrytych plików cookie, aby przywrócić pozostałe.
Wiele z tych luk w zabezpieczeniach znika. Flash i Silverlight nie są głównymi elementami współczesnego projektowania stron internetowych, a wiele przeglądarek nie jest szczególnie podatnych na inne kryjówki Evercookie. Ponieważ istnieje tak wiele sposobów, w jakie te pliki cookie mogą dostać się do systemu, nie ma jednego sposobu na ochronę. Jednak posiadanie dobrego zestawu dodatków do ochrony prywatności i usunięcie nawyków w przeglądarce to nigdy zły pomysł!
Czekaj, jesteśmy bezpieczni czy nie?
Technologia śledzenia online to nieustanny wyścig na szczyt, więc jeśli prywatność jest dla Ciebie ważna, zapewne znasz fakt, że nigdy nie możemy zagwarantować 100% anonimowości w sieci.
Prawdopodobnie nie musisz się zbytnio martwić o Supercookies, ponieważ są rzadko spotykane i coraz częściej są banowane. Z drugiej strony, Zombie Cookies/Evercookies są trudne do usunięcia. Wiele z ich znanych metod zostało już zablokowanych, ale nadal mogą działać, dopóki wszystkie luki nie zostaną naprawione, a oni zawsze mogą wymyślić nowe techniki.
