JPスーパーCookieは、通常の HTTP クッキーを超えてブラウザの状態やネットワーク識別子を使用してユーザーを認識する追跡メカニズムです。 Cookie が削除された後も識別子を保持するものもあります。 他の人は、削除された Cookie を別の保存されたコピーから復元できます。 この用語は非公式であり、いくつかの技術をカバーしているため、永続性はメカニズムとブラウザーに依存します。
クリーンアップ後もサイトがユーザーを認識している場合は、まずサインインしているかどうかを確認してください。 アカウント情報とブラウザーの信号によって、Cookie が回復されなくても認識が説明できる可能性があります。 よく知られた推奨事項だけでは、削除された識別子が戻ってきたことは示されません。
スーパーCookieはどのように機能しますか?
通常の Cookie はブラウザの Cookie ストアに保存されます。 ブラウザは、そのスコープとセキュリティ ルールに一致するリクエストを送信します。 その Cookie を削除すると、その特定のレコードが削除されます。
スーパークッキー技術は、そのレコードの外部の情報を使用します。 識別子は別の保存場所に保存されるか、ブラウザの状態から回復される可能性があります。 従来のネットワーク技術では、代わりに接続を通じて識別子を提供していました。
ブラウザの状態と Cookie の再生成
ブラウザは Cookie 以外にも保存します。 ローカル ストレージはサイト データを保持し、IndexedDB は構造化レコードを保存し、キャッシュは読み込みを高速化するためにリソースを保持します。 これらのシステムは通常の Web サイト機能を提供しますが、追跡スクリプトは識別子を保存するためにこれらのシステムを使用することもできます。
Cookie とは異なり、ローカル ストレージ レコードは HTTP リクエストに自動的に添付されません。 スクリプトはデータを読み取り、それを使用または送信する必要があります。 したがって、Cookie のブロックとスクリプトのアクセス制限は、プロセスのさまざまな部分に対応します。
Cookie の再生成は、削除された Cookie を別のコピーが復元するときに発生します。
- トラッカーは、同じ訪問者識別子を Cookie と別のアクセス可能な保存場所に保存します。
- 訪問者は Cookie を削除しますが、他のコピーは残します。
- 後でアクセスすると、トラッカーはそのコピーを読み取り、以前の識別子を使用して Cookie を再作成します。
このプロセスは、残りのコピーが読み取り可能であるかどうかによって異なります。 ブラウザ保護によってアクセスがブロックされたり、クリーンアップによって関連するコピーが削除されたりすると、その回復パスが失敗する可能性があります。
次回の訪問時に新しい Cookie を作成するだけでは、再生成されません。 重要な違いは、前の識別子が返されるかどうかです。
ネットワーク識別子
過去の一部のスーパーCookieは、ブラウザのストレージではなくモバイル ネットワークから取得されました。 2016 Verizon 調査 の中で、FCC は顧客トラフィックに挿入される一意の識別子ヘッダー (UIDH) について説明しました。 また、クリアされた Cookie 識別子を復元するためにそれらが使用されたことも報告しました。 ブラウザーの Cookie を削除しても、ネットワークから提供された識別子を削除できませんでした。
スーパークッキー技術の例
クリーンアップ アクションは、識別子を含む状態に達した場合にのみ役に立ちます。 ブラウザのクリーンアップでは、関連するローカル データを削除できますが、ネットワークによって追加されたヘッダーは削除できません。
| 技術 | 識別子の由来 | 何が重要か |
|---|---|---|
| キャッシュまたは ETag の悪用 | キャッシュされたリソースまたは意図的に割り当てられたリソースバリデータ | サイト間での再利用はブラウザのキャッシュ境界に依存します |
| 保存されたデータからの復活 | 訪問者識別子のアクセス可能な別のコピー | 1 つの Cookie を削除すると、回復可能なコピーが残る場合があります |
| HSTS 状態の悪用 | 情報のエンコードに使用される HTTPS アップグレード ルールを記憶 | ブラウザにはこの悪用に対する保護機能が導入されています |
| フラッシュクッキー | Flash プラグインによって管理されるストレージ | これは従来の例です |
| 通信事業者UIDH | ネットワークトラフィックに挿入されるヘッダー | この歴史的なメカニズムは Cookie ストアの外で運用されていました |
ETag は通常、リソースのバージョンを識別します。 これは、ブラウザーがキャッシュされたコピーがまだ最新であるかどうかを確認するのに役立ちます。 応答内で ETag が見つかっても、追跡は確立されません。
単に共有コンテンツを識別するのではなく、サーバーが訪問者に固有のバリデータを割り当てる場合に悪用が発生する可能性があります。 後でブラウザーがキャッシュ検証中にその値を返した場合、サーバーはその値を使用して訪問者を認識する可能性があります。
HSTS は通常、Web サイトで HTTPS を使用するようにブラウザに指示します。 HSTS 悪用 では、いくつかの制御ドメインの記憶されたルールがパターンをエンコードする可能性があります。 後でリクエストを行うと、そのパターンが明らかになる可能性があります。 これはブラウザの動作と保護によって異なります。 セキュリティ機能自体は悪意のあるものではなく、広範囲にわたって無効にすると保護が弱くなる可能性があります。
Adobe は、2020 年 12 月に Flash Player のサポート を終了しました。 現在のブラウザの日常的な手順として Flash のクリーンアップを推奨している記事は、時代遅れのアドバイスに依存しています。
スーパーCookie 対 クッキー、ゾンビクッキー、フィンガープリンティング
Cookie の長い有効期間、再作成された識別子、および Cookie を使用しない認識は、別個の動作です。
| 用語 | 説明されている内容 | 主な違い |
|---|---|---|
| HTTP クッキー | ブラウザによって管理され、一致するリクエストとともに送信されるレコード | 標準的な保管メカニズム |
| サードパーティクッキー | 現在アクセスしているサイト以外のサイトに関連付けられた Cookie | そのコンテキストによって自動的にスーパークッキーになるわけではありません |
| ゾンビクッキー | 削除された Cookie が再作成される | リスポーン動作について説明します |
| エバークッキー | 複数のストレージメカニズムにわたって識別子を保持する特定の実装 | リスポーンに関連する実装 |
| ブラウザのフィンガープリント | ブラウザとデバイスの信号から構築されたパターン | 認識は保存された識別子に依存する必要はありません |
通常の Cookie は、有効期限の設定が許せば数か月間保存されます。有効期間が長いというだけでスーパーCookieになるわけではありません。
ブラウザ フィンガープリント は、ブラウザのバージョン、画面設定、フォント、グラフィックスの動作などの信号から再構築できます。 保存されたデータを削除しても、必ずしもそれらの信号が変更されるわけではありません。
スーパーCookie がプライバシー上の懸念を引き起こす理由
追跡 Cookie の削除は、識別子を意図的に削除しようとする試みです。 その識別子をサイレントに復元すると、トラッカーは後の訪問を以前のアクティビティに再接続できるようになります。 ユーザーには、クリーンアップ直後に空の Cookie リストが表示されても、回復可能なコピーが別の場所に残っている可能性があります。
永続的な識別子は、複数の訪問間のアクティビティを結び付けるのにも役立ちます。 ブラウザーの境界が許可する場合、共有状態は Web サイト全体の追跡をサポートする場合があります。
Cookie リストには、トラッカーがすでに記録した内容についてもほとんど記載されていません。 ローカル クリーンアップでは、データを収集したサービスから過去の観測を削除せずに、ブラウザーからデータを削除できます。
スーパークッキー追跡を制限または削除する方法
Cookie の削除、ストレージの分割、および暗号化された接続により、さまざまな問題が解決されます。 疑わしい認識源に到達するコントロールを選択します。
関連するブラウザデータをクリアする
Chrome の Cookie 管理コントロール アドレス Cookie レコード。 より広範なサイト データとキャッシュのクリーンアップにより、追加のストレージがカバーされる場合があります。 一般的なクリーンアップ ラベルにすべてが含まれていると考えるのではなく、選択したカテゴリを確認してください。
ローカル ストレージの問題が疑われる場合:
- 影響を受ける Web サイトとブラウザのプロファイルを特定します。
- どの Cookie、サイト データ、キャッシュされたリソースがクリーンアップ アクションの対象となるかを確認します。
- これによりログインやオフライン コンテンツが削除される可能性があることを受け入れ、関連データを消去します。
- サイトに再度アクセスし、新しい識別子と復元された識別子を区別します。
疑わしい識別子をチェックするときは、クリーンアップの前後でその値を比較します。 レコード名だけでは十分ではありません。 サイトは同じ名前の Cookie を再作成して、新しい訪問者の値を割り当てることができます。 値が一致する場合はさらに調査する必要がありますが、リカバリがローカル ストレージから行われたのかサーバー レコードから行われたのかは明らかになりません。
ブラウザ追跡保護を使用する
ブラウザ保護により、識別子を保存または回復する前に一部の追跡スクリプトがブロックされる場合があります。 Firefox は キャッシュとネットワーク接続をウェブサイト ごとに分割 し、サイト間での再利用を制限します。
同じトラッカーが 2 つの無関係な Web サイトに表示されるとします。 パーティショニングにより、1 つの共有コンテキストではなく、各サイトに個別の状態コンテキストを与えることができます。 トラッカーは、許可されたコンテキスト内での繰り返しの訪問を引き続き認識する場合があります。 境界により、サイト間での再利用が制限されます。
個別のブラウジング コンテキストと HTTPS を使用する
クッキーの分離 は、サポートされているコンテキスト間で Cookie の状態を分離します。 他のストレージには独自の分離境界が必要です。 同じプロファイルで別のタブを開いた場合、通常、独立した Cookie ストアは作成されません。
HTTPS は、通常の中間検査や変更から転送中のデータを保護します。 保存されている識別子が削除されたり、受信側 Web サイトによる識別子の処理が妨げられることはありません。
再度サインインすると、新しいブラウザ セッションを既存のアカウントに接続できます。 その後、サイトがあなたの購入や好みを記憶している場合、それはそのアカウント記録から得られる可能性があります。 ブラウザを繰り返しクリアしても、それらのレコードは削除されません。
スーパーCookieに関するよくある質問
スーパーCookie はサードパーティ Cookie と同じですか?
いいえ。 サードパーティは、Cookie が使用されるコンテキストを説明します。 スーパーCookie は、通常の Cookie ストレージを超えた追跡を意味する、より広範で非公式な用語です。 サードパーティ Cookie をブロックしても、他のすべての認識メカニズムが自動的にカバーされるわけではありません。
Cookie を削除すると、スーパーCookie も削除されますか?
それは識別子を運ぶものによって異なります。 Cookie を削除すると Cookie レコードが削除されますが、別のアクセス可能なコピーまたは関連するブラウザーの状態が残る場合があります。 より広範なクリーンアップにより、より多くのローカル データに対処できますが、その範囲はブラウザーによって異なります。
プライベート ブラウジングは スーパーCookie を停止しますか?
プライベート ブラウジングは通常、一時的なブラウジング状態を通常のプロファイルから分離し、セッションが終了するとその一時的な状態をクリアします。 すべてのブラウザー信号を隠したり、サーバー記録を削除したり、サインインしているユーザーを匿名にしたりするわけではありません。
VPN はスーパーCookieを削除できますか?
いいえ。 VPN はトンネル沿いのトラフィックを保護し、ウェブサイトで参照されるパブリック IPアドレス を変更できます。 Cookie、ローカル ストレージ、キャッシュされた識別子は削除されません。 Web サイトは引き続きアカウント情報と利用可能なブラウザー信号を認識できます。
すべてのスーパークッキーをテストできますか?
1 回のテストでは、考えられるすべてのメカニズムが存在しないことを確認することはできません。 Cover Your Tracks では、追跡保護とブラウザのフィンガープリンティングの側面を評価します。 合格結果は、すべての保存場所と認識方法がチェックされたことを証明するものではありません。
Flash が終了した後も、スーパーCookie は有効ですか?
はい。 Flash はストレージ メカニズムの 1 つであり、すべてのスーパークッキー技術の基礎ではありませんでした。 他のブラウザ状態では、アクセスが可能な状態で永続的な識別子をサポートできます。 古いプラグインのクリーンアップ手順に従うのではなく、現在のブラウザとメカニズムを評価します。
