[Знання з безпеки] Super cookies можуть порушувати режим конфіденційності і все одно відстежувати інформацію користувачів

Наразі всі основні браузери пропонують режим захисту приватності. У цьому режимі файли cookie сайтів не можуть відстежувати особу користувача. Наприклад, Google Chrome пропонує функцію «Інкогніто», а Firefox — «Вікно конфіденційності».

Однак ця нещодавно виявлена вразливість призведе до відмови режиму конфіденційності браузера. Наприклад, коли користувач користується звичайним браузером, робить покупки на Amazon.com або переглядає Facebook, він може відкрити вікно конфіденційності для перегляду блогу з суперечливим контентом. Якщо блог використовує ту ж рекламну мережу, що й Amazon, або інтегрує кнопку «Лайк» від Facebook, рекламодавці та Facebook можуть знати, що користувачі відвідують суперечливий блог одночасно з Amazon і Facebook.

Існує тимчасовий обхідний шлях для цієї вразливості, але він незручний: користувачі можуть видалити всі файли cookie перед активацією режиму конфіденційності або повністю скористатися окремим браузером для перегляду в режимі конфіденційності.

Іронічно, що ця вразливість спричинена функцією, розробленою для посилення захисту приватності.

Якщо користувач використовує префікс https:// в адресному рядку браузера для шифрування комунікацій з певних вебсайтів, деякі браузери це запам'ятають. Браузер зберігає «суперфайл cookie», щоб наступного разу, коли користувач підключиться до сайту, браузер автоматично увійшов у https-канал. Ця пам'ять зберігатиметься навіть якщо користувач увімкнув режим конфіденційності.

Водночас такі суперфайли cookie дозволяють стороннім веб-програмам, таким як реклама та кнопки соціальних мереж, запам'ятовувати користувача.

Сем Грінхельг, незалежний дослідник, який виявив цю вразливість, написав у блозі, що ця функція поки що не використовується жодною компанією. Однак після того, як цей метод став публічним, не було способу зупинити компанії від цього.

Євген Кузнєцов, співзасновник компанії з онлайн-програмного забезпечення Abine, вірить, що цей «суперкукі» стане наступним поколінням інструментів відстеження. Цей інструмент народився з печива, але став більш досконалим. Наразі користувачі завжди мають унікальний ідентифікатор пристрою та унікальний відбиток браузера під час перегляду, які важко стерти.

Анонімність в Інтернеті стала складнішою через існування «суперкукі». Кузнєцов сказав: «Ми спостерігаємо гонку озброєнь щодо захисту приватності. Бажання відстежувати користувачів Інтернету — це як паразит. Все, що знаходиться у вашому браузері, ретельно перевіряється сайтами та рекламодавцями, що дозволяє краще відстежувати. ”

Mozilla вже виправила це в останній версії Firefox, тоді як Google зазвичай залишає Chrome як є. Google вже знає про проблему з «суперкуки», але все одно вирішує продовжувати увімкнути функцію https-пам'яті в Chrome. Між безпекою та захистом приватності Google обрав перше.

Microsoft Internet Explorer не має такої проблеми, оскільки цей браузер не має вбудованої функції https пам'яті.

Грінхал також зазначив, що на iOS-пристроях проблема, спричинена «суперфайлами cookie», також існує.