不使用 Cookie 的“Cookie”技术 已翻译 100%

淘醒迷乐 投递于 2013/08/20 09:31 (共 5 段, 翻译完成于 08-20)
阅读 13035
收藏 256
14
加载中
有另一种方法可以跟踪用户而不使用cookies或Javascript。这种方法 已经被用于无数网站,但几乎没人人们知道。本页解释这种方法是如何运作的,以及是如何保护你自己的。

这种跟踪方式 无需使用:
  • Cookies
  • Javascript
  • LocalStorage/SessionStorage/GlobalStorage
  • Flash、Java或其他组件
  • 你的IP地址或是用户代理字符串(User Agent String )
  • 任何Panopticlick所使用的方式
相反,它使用另一种存储方式,在浏览器重启的时候也可以保持持久性,这就是: caching.

即使你完全禁用cookies、关闭Javascript功能并且使用VPN,这种技术依然可以追踪到你。

在线示例:http://lucb1e.com/rp/cookielesscookies/

我们继续,输入一些东西然后保存。接着关闭你的浏览器再一次打开这个页面。它是不是还在那儿呢?

检查你的cookies,有没有?当然没有,因为它完完全全在一张假图片的校验和里,几乎没人能意识到。看到页面顶部右边的眼睛了吗?这就是我们的跟踪器。

zaobao
zaobao
翻译于 2013/08/20 13:08
4

那么它是怎么运作的呢?

这是一张概览图



图片中的ETag是一种校验和。当图片改变时,校验和也会改变。所以当浏览器有图片并且知道校验和时,它可以将校验和传送给web服务器来验证。然后web服务器验证图片是否改变。如果没有,就不用重新传送图片了,省下了不少数据流量。

细心的读者或许已经注意到,可以这样追踪人群:浏览器发送回给服务器的信息就是它之前所接收到的(ETag)。这听起来和cookies十分相似。服务器可以给每个浏览器一个唯一的ETag,浏览器再次连接时ETag可以从数据库中找出来。
zaobao
zaobao
翻译于 2013/08/20 13:24
3
本例的技术要点(以及bug)
为了描述它是如何不必使用Javascript就可以生效的,我必须找一些专属与你的信息,ETag除外。图片在页面加载完后加载,但只有图片包含ETag。我要怎样在页面上显示实时信息呢?结果是在不动态刷新页面的情况下,我不能做到这一点,但动态刷新要用到Javascript,这又是我所想避免的。

这个鸡生蛋,蛋生鸡的问题引出了一些bug:
- 所有能见的信息都是之前页面加载的。只有按F5可以看到新的数据。
- 当你浏览一个页面而你没有ETag的时(比如匿名模式),你的session会被清空。只有重载时才能再次看到。

我没见过有简单的方案可以解决这些问题。当然事在人为,但不像其他网站,而且我想尽量保持代码简单并贴近现实。

注意在你真的要追踪用户时,这些bug一般不会存在。因为你不会想让用户知道他们在被追踪。

源代码
什么项目没有源代码呢? 哦对,是微软的Windows。

https://github.com/lucb1e/cookielesscookies

zaobao
zaobao
翻译于 2013/08/20 13:56
2

我们该怎么去阻止它?

有一个方法我强烈推荐你做的就是, 任何时候你想更安全的浏览一个网页的话, 请开启一个隐私浏览窗口, 并仅使用https连接方式. 这么做能够单方面地消除形如 BREACH (最新的https攻击方式)攻击的影响, 禁止任何可能会产生的追踪cookie, 并且也能消除我在本页面所展示的缓存追踪的问题的影响, 我在网上购物的时候会使用隐私浏览模式. 在 Firefox 下(我想IE应该也是)快捷方式是 Ctrl+Shift+P, 在 Chrome 下则是 Ctrl+Shift+N.

除此以外, 这也取决于你的偏执级别.

由于缓存追踪实际上无法被侦测, 所以当前我还没有很直观的解决方法, 更因为缓存自身很有用(包括对你)并能够节省时间和金钱. 网站管理员们将会消耗更少的带宽(你可以想象一下, 终端用户最终将为这份因为更多的带宽而开具的账单埋单), 你的网页会更快加载, 尤其是在移动设备上会更加明显如果说你没有办理不限流量的4G套餐的话. 若你居住在有着高延迟, 低带宽的农村地区, 那就更糟糕了.
maverickpuss
maverickpuss
翻译于 2013/08/20 14:57
2
如果你非常疑神疑鬼,最好禁用所有缓存。这会阻止任何追踪的发生,但我个人认为得不偿失。

Firefox插件Self-Destructing Cookies,能在你不使用浏览器一段时间后,清空你的缓存。这也许是个不用禁用缓存的好选择;你 会在访问时被追踪,但他们通过看哪个IP访问哪个页面的方法早就做到了这一点,所以这种方法很合算。以后任何访问都仿佛来自另一个用户,如果所有其他的追踪方式也已经被阻止。

我不知道任何一款插件可以定期删除缓存(比如每72小时一次),但也许有。这对99%的用户来说会是个好主意,因为它限制追踪功能的同时,对性能影响较小。

更新: 我听说Firefox插件SecretAgent也使用ETag盖写来防止这种追踪手段。如果你是根据域名来阻止追踪,可以添加白名单来重新开启缓存。这款插件可以阻止追踪的功能已经得到 确认SecretAgent的网站.
zaobao
zaobao
翻译于 2013/08/20 15:42
2
本文中的所有译文仅用于学习和交流目的,转载请务必注明文章译者、出处、和本文链接。
我们的翻译工作遵照 CC 协议,如果我们的工作有侵犯到您的权益,请及时联系我们。
加载中

评论(27)

h
hofuch
chrome 多个版本都不支持呢
郑州网建
郑州网建
百度首页,logo,Response Headers 就有ETag信息,这是什么时候加的。>->
郑州网建
郑州网建

引用来自“leixu_txtek”的评论

什么项目没有源代码呢? 哦对,是微软的Windows。

笑了下。哈哈

这是在嘲笑win吗 haha
FGQ
FGQ
chrome Version 29.0.1547.57 上测试不通过!
leixu2
leixu2
什么项目没有源代码呢? 哦对,是微软的Windows。

笑了下。哈哈
huangzhijun
huangzhijun
对于集群发布静态资源不可靠,各服务器生成的etag可能不一样。
chazz
chazz

引用来自“红薯”的评论

引用来自“zaobao”的评论

每次翻到最后,都发现是软文一篇。

我觉得这个思路可以参考下,软文又何妨呢:)

@红薯 ,老实交代,是不是收钱了。o(∩_∩)o
Skqing
Skqing
哎呦, 很牛掰的样纸哦!
仁清烨媛
仁清烨媛
咋感觉上网越来越不安全了呢
Xingo
Xingo
单独使用太没安全感了,配合其他技术或许还行。
有个清缓存的快捷键是ie、firefox、chrome通用的:Ctrl + Shift + Delete
返回顶部
顶部