VNSupercookie là các cơ chế theo dõi sử dụng trạng thái trình duyệt hoặc mã nhận dạng mạng ngoài cookie HTTP thông thường để nhận dạng người dùng. Một số giữ lại mã định danh sau khi xóa cookie. Những người khác có thể khôi phục cookie đã xóa từ một bản sao được lưu trữ khác. Thuật ngữ này không chính thức và bao gồm một số kỹ thuật, vì vậy tính bền vững phụ thuộc vào cơ chế và trình duyệt.
Nếu một trang web vẫn nhận ra bạn sau khi dọn dẹp, trước tiên hãy kiểm tra xem bạn đã đăng nhập chưa. Thông tin tài khoản và tín hiệu trình duyệt có thể giải thích việc nhận dạng mà không cần khôi phục cookie. Chỉ những đề xuất quen thuộc không cho thấy rằng mã định danh đã xóa đã quay trở lại.
Supercookie hoạt động như thế nào?
Một cookie bình thường nằm trong kho cookie của trình duyệt. Trình duyệt gửi nó với các yêu cầu phù hợp với phạm vi và quy tắc bảo mật của nó. Xóa cookie đó sẽ xóa bản ghi cụ thể đó.
Kỹ thuật Supercookie sử dụng thông tin bên ngoài bản ghi đó. Mã nhận dạng có thể tồn tại ở một vị trí lưu trữ khác hoặc được khôi phục từ trạng thái trình duyệt. Thay vào đó, các kỹ thuật mạng lịch sử đã cung cấp mã nhận dạng thông qua kết nối.
Trạng thái trình duyệt và hồi sinh cookie
Trình duyệt lưu trữ nhiều hơn cookie. Bộ nhớ cục bộ chứa dữ liệu trang web, IndexedDB lưu trữ các bản ghi có cấu trúc và bộ nhớ đệm giữ lại tài nguyên để tải nhanh hơn. Các hệ thống này phục vụ các chức năng bình thường của trang web, nhưng các tập lệnh theo dõi cũng có thể sử dụng chúng để bảo toàn số nhận dạng.
Không giống như cookie, bản ghi lưu trữ cục bộ không được tự động đính kèm với các yêu cầu HTTP. Một tập lệnh phải đọc dữ liệu và sử dụng hoặc truyền nó. Do đó, việc chặn cookie và hạn chế truy cập tập lệnh sẽ giải quyết các phần khác nhau của quy trình.
Việc hồi sinh cookie xảy ra khi một bản sao khác khôi phục cookie đã xóa:
- Trình theo dõi lưu cùng một mã nhận dạng khách truy cập vào cookie và một vị trí lưu trữ có thể truy cập khác.
- Khách truy cập xóa cookie nhưng để lại bản sao còn lại.
- Trong lần truy cập sau, trình theo dõi sẽ đọc bản sao đó và tạo lại cookie bằng mã định danh trước đó.
Quá trình này phụ thuộc vào việc bản sao còn lại có thể đọc được hay không. Nếu các biện pháp bảo vệ của trình duyệt chặn quyền truy cập hoặc quá trình dọn dẹp xóa các bản sao có liên quan thì đường dẫn khôi phục đó có thể không thành công.
Chỉ tạo một cookie mới trong lần truy cập tiếp theo không phải là khôi phục cookie đã xóa. Sự khác biệt quan trọng là liệu mã định danh trước đó có trả về hay không.
Số nhận dạng mạng
Một số Supercookie lịch sử đến từ mạng di động chứ không phải từ bộ nhớ trình duyệt. Trong cuộc điều tra Verizon năm 2016, FCC đã mô tả các tiêu đề nhận dạng duy nhất hoặc UIDH được chèn vào lưu lượng truy cập của khách hàng. Nó cũng báo cáo việc sử dụng chúng để khôi phục các số nhận dạng cookie đã bị xóa. Việc xóa cookie trình duyệt không thể xóa mã nhận dạng do mạng cung cấp.
Ví dụ về kỹ thuật siêu bánh quy
Hành động dọn dẹp chỉ hữu ích nếu nó đạt đến trạng thái mang mã định danh. Việc dọn dẹp trình duyệt có thể xóa dữ liệu cục bộ có liên quan nhưng không thể xóa tiêu đề do mạng thêm vào.
| Kỹ thuật | Mã định danh đến từ đâu | Điều gì quan trọng |
|---|---|---|
| Lạm dụng bộ nhớ đệm hoặc ETag | Tài nguyên được lưu trong bộ nhớ đệm hoặc trình xác thực tài nguyên được chỉ định có chủ ý | Việc sử dụng lại trên các trang web phụ thuộc vào ranh giới bộ đệm của trình duyệt |
| Hồi sinh từ dữ liệu được lưu trữ | Một bản sao có thể truy cập khác của mã định danh khách truy cập | Xóa một cookie có thể để lại một bản sao có thể phục hồi được |
| Lạm dụng trạng thái HSTS | Đã ghi nhớ các quy tắc nâng cấp HTTPS được sử dụng để mã hóa thông tin | Các trình duyệt đã đưa ra các biện pháp bảo vệ chống lại sự lạm dụng này |
| Cookie flash | Bộ nhớ được quản lý bởi plugin Flash | Đây là một ví dụ kế thừa |
| Nhà cung cấp dịch vụ UIDH | Một tiêu đề được chèn vào lưu lượng mạng | Cơ chế lịch sử này hoạt động bên ngoài cửa hàng cookie |
ETag thường xác định phiên bản của tài nguyên. Nó giúp trình duyệt kiểm tra xem bản sao được lưu trong bộ nhớ cache của nó có còn hiện hành hay không. Việc tìm thấy ETag trong phản hồi không thiết lập việc theo dõi.
Lạm dụng có thể xảy ra khi máy chủ gán cho khách truy cập một trình xác thực đặc biệt thay vì chỉ xác định nội dung được chia sẻ. Nếu sau đó trình duyệt trả về giá trị đó trong quá trình xác thực bộ đệm, máy chủ có thể sử dụng giá trị đó để nhận dạng khách truy cập.
HSTS thường yêu cầu trình duyệt sử dụng HTTPS cho một trang web. Trong HSTS lạm dụng, các quy tắc được ghi nhớ cho một số miền được kiểm soát có thể mã hóa một mẫu. Những yêu cầu sau này có thể tiết lộ khuôn mẫu đó. Điều này phụ thuộc vào hành vi và biện pháp bảo vệ của trình duyệt. Bản thân tính năng bảo mật này không độc hại và việc tắt tính năng này trên diện rộng có thể làm suy yếu khả năng bảo vệ.
Adobe đã ngừng hỗ trợ Flash Player vào tháng 12 năm 2020. Một bài viết đề xuất việc dọn dẹp Flash như một bước thường lệ đối với các trình duyệt hiện tại đang dựa vào những lời khuyên đã lỗi thời.
Supercookie so với cookie, cookie zombie và vân tay
Thời gian tồn tại của cookie dài, số nhận dạng được tạo lại và nhận dạng không có cookie là các hành vi riêng biệt.
| Thuật ngữ | Những gì nó mô tả | Sự khác biệt chính |
|---|---|---|
| cookie HTTP | Một bản ghi được quản lý bởi trình duyệt và được gửi cùng với các yêu cầu phù hợp | Cơ chế lưu trữ tiêu chuẩn |
| Cookie của bên thứ ba | Một cookie được liên kết với một trang web khác với trang web hiện đang được truy cập | Bối cảnh của nó không tự động khiến nó trở thành supercookie |
| Cookie zombie | Cookie đã xóa sẽ được tạo lại | Mô tả hành vi hồi sinh |
| Evercookie | Một triển khai cụ thể giúp bảo toàn số nhận dạng trên nhiều cơ chế lưu trữ | Một triển khai liên quan đến việc hồi sinh |
| Dấu vân tay trình duyệt | Một mẫu được xây dựng từ tín hiệu của trình duyệt và thiết bị | Việc nhận dạng không cần phụ thuộc vào mã định danh được lưu trữ |
Cookie thông thường có thể tồn tại trong nhiều tháng nếu thời hạn hết hiệu lực cho phép. Chỉ riêng thời gian tồn tại dài không khiến nó trở thành Supercookie.
dấu vân tay trình duyệt có thể được xây dựng lại từ các tín hiệu như phiên bản trình duyệt, cài đặt màn hình, phông chữ và hành vi đồ họa. Xóa dữ liệu được lưu trữ không nhất thiết sẽ thay đổi các tín hiệu đó.
Tại sao Supercookie gây lo ngại về quyền riêng tư
Xóa cookie theo dõi là một nỗ lực có chủ ý nhằm xóa số nhận dạng. Việc âm thầm khôi phục số nhận dạng đó có thể cho phép trình theo dõi kết nối lại các lượt truy cập sau với hoạt động trước đó. Người dùng có thể thấy danh sách cookie trống ngay sau khi dọn dẹp và vẫn có bản sao có thể phục hồi ở nơi khác.
Số nhận dạng liên tục cũng có thể giúp kết nối hoạt động qua các lượt truy cập. Khi ranh giới trình duyệt cho phép, trạng thái chia sẻ có thể hỗ trợ theo dõi trên các trang web.
Danh sách cookie cũng cho biết rất ít về những gì trình theo dõi đã ghi lại. Tính năng dọn dẹp cục bộ có thể xóa dữ liệu khỏi trình duyệt mà không xóa các quan sát trước đây khỏi dịch vụ đã thu thập chúng.
Cách hạn chế hoặc xóa theo dõi Supercookie
Xóa cookie, phân vùng lưu trữ và kết nối được mã hóa giải quyết các vấn đề khác nhau. Chọn điều khiển tiếp cận nguồn nhận dạng bị nghi ngờ.
Xóa dữ liệu trình duyệt có liên quan
Quản lý cookie kiểm soát quản lý cookie của Chrome kiểm soát các bản ghi cookie địa chỉ . Dữ liệu trang web rộng hơn và việc dọn dẹp bộ nhớ đệm có thể đáp ứng nhu cầu lưu trữ bổ sung. Kiểm tra các danh mục đã chọn thay vì cho rằng nhãn dọn dẹp chung bao gồm mọi thứ.
Đối với sự cố lưu trữ cục bộ bị nghi ngờ:
- Xác định trang web và hồ sơ trình duyệt bị ảnh hưởng.
- Kiểm tra xem cookie, dữ liệu trang web và tài nguyên được lưu trong bộ nhớ đệm nào được bao gồm trong hành động dọn dẹp.
- Xóa dữ liệu liên quan, chấp nhận rằng điều này có thể xóa thông tin đăng nhập hoặc nội dung ngoại tuyến.
- Truy cập lại trang web và phân biệt số nhận dạng mới với số nhận dạng được khôi phục.
Khi kiểm tra mã định danh bị nghi ngờ, hãy so sánh giá trị của nó trước và sau khi dọn dẹp. Chỉ tên bản ghi là không đủ. Một trang web có thể tạo lại cookie có cùng tên nhưng chỉ định giá trị khách truy cập mới. Các giá trị trùng khớp cần được điều tra thêm nhưng chúng không tiết lộ liệu quá trình khôi phục đến từ bộ nhớ cục bộ hay bản ghi máy chủ.
Sử dụng biện pháp bảo vệ theo dõi trình duyệt
Các biện pháp bảo vệ trình duyệt có thể chặn một số tập lệnh theo dõi trước khi chúng lưu trữ hoặc khôi phục mã nhận dạng. Firefox cũng phân vùng bộ nhớ đệm và kết nối mạng theo trang web, hạn chế việc sử dụng lại chúng trên các trang web.
Giả sử cùng một trình theo dõi xuất hiện trên hai trang web không liên quan. Việc phân vùng có thể cung cấp cho nó một bối cảnh trạng thái riêng biệt trên mỗi trang, thay vì một bối cảnh chung. Trình theo dõi vẫn có thể nhận ra các lượt truy cập lặp lại trong ngữ cảnh được phép. Ranh giới hạn chế việc sử dụng lại trên các trang web.
Sử dụng bối cảnh duyệt web và HTTPS riêng biệt
Cách ly cookie phân tách trạng thái cookie giữa các ngữ cảnh được hỗ trợ. Bộ lưu trữ khác cần có ranh giới cách ly riêng. Việc mở một tab khác trong cùng một hồ sơ thường không tạo ra một kho cookie độc lập.
HTTPS bảo vệ dữ liệu trong quá trình truyền khỏi sự kiểm tra và sửa đổi trung gian thông thường. Nó không xóa các số nhận dạng được lưu trữ hoặc ngăn trang web nhận xử lý chúng.
Đăng nhập lại có thể kết nối phiên trình duyệt mới với tài khoản hiện có. Sau đó, nếu trang web ghi nhớ các giao dịch mua hàng hoặc tùy chọn của bạn, điều đó có thể đến từ hồ sơ tài khoản của trang web đó. Việc xóa trình duyệt nhiều lần sẽ không xóa những bản ghi đó.
Câu hỏi thường gặp về Supercookie
Supercookie có giống với cookie của bên thứ ba không?
KHÔNG. Bên thứ ba mô tả bối cảnh sử dụng cookie. Supercookie là một thuật ngữ không chính thức, rộng hơn để theo dõi ngoài phạm vi lưu trữ cookie thông thường. Việc chặn cookie của bên thứ ba không tự động bao gồm mọi cơ chế nhận dạng khác.
Việc xóa cookie có xóa Supercookie không?
Nó phụ thuộc vào những gì mang mã định danh. Việc xóa cookie sẽ xóa các bản ghi cookie nhưng một bản sao có thể truy cập khác hoặc trạng thái trình duyệt có liên quan có thể vẫn còn. Việc dọn dẹp rộng hơn có thể giải quyết được nhiều dữ liệu cục bộ hơn, mặc dù mức độ bao phủ của nó phụ thuộc vào trình duyệt.
Duyệt web riêng tư có dừng Supercookie không?
Duyệt web riêng tư thường tách trạng thái duyệt tạm thời khỏi cấu hình thông thường và xóa trạng thái tạm thời đó khi phiên kết thúc. Nó không ẩn mọi tín hiệu của trình duyệt, xóa bản ghi máy chủ hoặc khiến người đăng nhập trở thành ẩn danh.
VPN có thể xóa Supercookie không?
KHÔNG. VPN có thể bảo vệ lưu lượng dọc theo đường hầm và thay đổi Địa chỉ IP mà các trang web công khai nhìn thấy. Nó không xóa cookie, bộ nhớ cục bộ hoặc số nhận dạng được lưu trong bộ nhớ cache. Các trang web vẫn có thể nhận dạng được thông tin tài khoản và các tín hiệu có sẵn của trình duyệt.
Bạn có thể kiểm tra mọi supercookie không?
Một thử nghiệm đơn lẻ không thể chứng minh rằng mọi cơ chế có thể đều vắng mặt. Che dấu vết của bạn đánh giá các khía cạnh của khả năng chống theo dõi và Dấu vân tay trình duyệt. Kết quả đạt không chứng minh được rằng mọi vị trí lưu trữ và phương pháp nhận dạng đều đã được kiểm tra.
Supercookie có còn phù hợp sau khi Flash kết thúc không?
Đúng. Flash là một cơ chế lưu trữ, không phải là nền tảng của mọi kỹ thuật siêu cookie. Trạng thái trình duyệt khác có thể hỗ trợ các số nhận dạng liên tục nơi vẫn có quyền truy cập. Đánh giá trình duyệt và cơ chế hiện tại thay vì làm theo hướng dẫn dọn dẹp plugin cũ.
