超级 Cookie

超级 Cookie 是一种跟踪机制，它使用普通 HTTP cookie 之外的浏览器状态或网络标识符来识别用户。 有些在删除 cookie 后仍保留标识符。 其他人可以从另一个存储的副本恢复已删除的 cookie。 该术语是非正式的，涵盖多种技术，因此持久性取决于机制和浏览器。

如果清理后网站仍然可以识别您，请首先检查您是否已登录。 帐户信息和浏览器信号可以解释无需恢复 cookie 的识别。 仅熟悉的建议并不表明删除的标识符已返回。

超级 Cookie如何工作？

普通 cookie 位于浏览器 cookie 存储中。 浏览器向其发送与其范围和安全规则相匹配的请求。 删除该 cookie 会删除该特定记录。

Supercookie 技术使用该记录之外的信息。 该标识符可能会保留在另一个存储位置或从浏览器状态中恢复。 历史网络技术通过连接提供标识符。

浏览器状态和 Cookie 重生

浏览器存储的不仅仅是cookie。 本地存储保存站点数据，IndexedDB 存储结构化记录，缓存保留资源以加快加载速度。 这些系统提供正常的网站功能，但跟踪脚本也可以使用它们来保留标识符。

与 cookie 不同，本地存储记录不会自动附加到 HTTP 请求。 脚本必须读取数据并使用或传输它。 因此，Cookie 阻止和脚本访问限制针对的是流程的不同部分。

当另一个副本恢复已删除的 cookie 时，就会发生 Cookie 重生：

1. 跟踪器将相同的访客标识符保存在 cookie 和另一个可访问的存储位置中。
2. 访问者删除了 cookie，但留下了另一个副本。
3. 在稍后访问时，跟踪器会读取该副本并使用之前的标识符重新创建 cookie。

该过程取决于剩余副本是否可读。 如果浏览器保护措施阻止访问，或者清理操作删除了相关副本，则该恢复路径可能会失败。

仅仅在下次访问时创建一个新的 cookie 并不会重生。 重要的区别是前一个标识符是否返回。

网络标识符

一些历史上的超级 Cookie来自移动网络而不是浏览器存储。 在其 2016 Verizon 调查 中，FCC 描述了插入到客户流量中的唯一标识符标头 (UIDH)。 它还报告了它们用于恢复已清除的 cookie 标识符。 删除浏览器 cookie 无法删除网络提供的标识符。

Supercookie 技术示例

清理操作仅在到达携带标识符的状态时才有帮助。 浏览器清理可以删除相关的本地数据，但无法删除网络添加的标头。

ETag 通常标识资源的版本。 它帮助浏览器检查其缓存的副本是否仍然是最新的。 在响应中查找 ETag 并不能建立跟踪。

当服务器为访问者分配独特的验证器而不是仅仅识别共享内容时，就会发生滥用。 如果浏览器稍后在缓存验证期间返回该值，服务器可以使用它来识别访问者。

HSTS 通常告诉浏览器对网站使用 HTTPS。 在 HSTS 滥用 中，多个受控域的记住规则可以对模式进行编码。 稍后的请求可以揭示该模式。 这取决于浏览器的行为和保护。 安全功能本身并不是恶意的，广泛禁用它会削弱保护。

Adobe 于 2020 年 12 月终止了 Flash Player 支持。 一篇建议将 Flash 清理作为当前浏览器的常规步骤的文章依赖于过时的建议。

超级 Cookie 与 Cookies、Zombie Cookies 和指纹识别

较长的 Cookie 生命周期、重新创建的标识符以及不使用 Cookie 的识别是不同的行为。

如果过期时间允许，普通 cookie 可以保留数月。 仅凭这么长的寿命并不能使它成为超级 Cookie。

浏览器指纹 可以根据浏览器版本、屏幕设置、字体和图形行为等信号重建。 删除存储的数据不一定会改变这些信号。

为什么超级 Cookie引起隐私问题

删除跟踪 cookie 是有意删除标识符的尝试。 静默恢复该标识符可以让跟踪器将以后的访问与早期的活动重新连接起来。 用户可能会在清理后立即看到一个空的 cookie 列表，并且在其他地方仍然有可恢复的副本。

持久标识符还可以帮助连接跨访问的活动。 在浏览器边界允许的情况下，共享状态可以支持跨网站跟踪。

Cookie 列表也很少说明跟踪器已经记录的内容。 本地清理可以从浏览器中删除数据，而无需从收集数据的服务中删除过去的观察结果。

如何限制或删除 Supercookie 跟踪

Cookie删除、存储分区和加密连接解决了不同的问题。 选择到达可疑识别源的控件。

清除相关浏览器数据

Chrome 的 cookie 管理控制 地址 cookie 记录。 更广泛的站点数据和缓存清理可能会覆盖额外的存储空间。 检查所选类别，而不是假设一般清理标签包含所有内容。

对于怀疑本地存储问题：

1. 确定受影响的网站和浏览器配置文件。
2. 检查清理操作涵盖哪些 cookie、站点数据和缓存资源。
3. 清除相关数据，并接受这可能会删除登录或离线内容。
4. 重新访问该站点并区分新标识符和恢复的标识符。

检查可疑标识符时，比较其清理前后的值。 仅记录名称是不够的。 站点可以重新创建具有相同名称的 cookie，但分配新的访问者值。 匹配值值得进一步调查，但它们没有揭示恢复是来自本地存储还是服务器记录。

使用浏览器跟踪保护

浏览器保护可以在存储或恢复标识符之前阻止某些跟踪脚本。 Firefox 还按网站对缓存和网络连接进行分区，限制它们在站点之间的重用。

假设同一个跟踪器出现在两个不相关的网站上。 分区可以为每个站点提供一个单独的状态上下文，而不是一个共享上下文。 跟踪器仍然可以识别允许的上下文内的重复访问。 边界限制了跨站点的重用。

使用单独的浏览上下文和 HTTPS

Cookie 隔离 在支持的上下文之间分离 Cookie 状态。 其他存储需要自己的隔离边界。 在同一配置文件中打开另一个选项卡通常不会创建独立的 Cookie 存储。

HTTPS 保护传输中的数据免受普通中介检查和修改。 它不会删除存储的标识符或阻止接收网站对其进行处理。

再次登录可以将新的浏览器会话与现有帐户连接。 如果该网站随后记住了您的购买或偏好，这可能来自其帐户记录。 多次清除浏览器并不会删除这些记录。

超级 Cookie常见问题解答

超级 Cookie 与第三方 cookie 相同吗？

不。 第三方描述了使用 cookie 的上下文。 超级 Cookie 是一个更广泛的非正式术语，用于跟踪普通 Cookie 存储之外的情况。 阻止第三方 cookie 不会自动覆盖所有其他识别机制。

删除 Cookie 是否会删除超级 Cookie？

这取决于携带标识符的内容。 Cookie 删除会删除 Cookie 记录，但可能会保留另一个可访问的副本或相关的浏览器状态。 更广泛的清理可以处理更多本地数据，尽管其覆盖范围取决于浏览器。

隐私浏览是否会停止超级 Cookie？

隐私浏览通常将临时浏览状态与正常配置文件分开，并在会话结束时清除该临时状态。 它不会隐藏每个浏览器信号、删除服务器记录或使登录者匿名。

VPN 可以删除超级 Cookie 吗？

不。 VPN 可以保护隧道上的流量并更改公共 IP地址网站看到的内容。 它不会删除 cookie、本地存储或缓存的标识符。 网站仍然可以识别帐户信息和可用的浏览器信号。

你能测试每个超级cookie吗？

单一测试无法确定所有可能的机制都不存在。 掩盖您的踪迹 评估跟踪保护和浏览器指纹的各个方面。 通过结果并不表明每个存储位置和识别方法都已被检查。

Flash 结束后，超级 Cookie 是否仍然相关？

是的。 闪存是一种存储机制，而不是所有超级cookie 技术的基础。 其他浏览器状态可以支持访问保持可用的持久标识符。 评估当前的浏览器和机制，而不是遵循旧的插件清理说明。