Ці выйдзеце вы з інтэрнэт-крамы, калі зменіце сервер VPN?
Новы адрас выхаду не апусташае сховішча кукаў. Спачатку вырашыце, што вы тэстуеце: сеткавы шлях, увайшоўшую сесію ці захаваныя даныя сайта.
Змяніце выхад VPN, пакуль крама адкрыта ў іншай укладцы, і кошык звычайна застаецца на месцы. Гэта не збой VPN; гэта браўзер робіць менавіта тое, што яму сказалі. Кукі адпраўляе браўзер, і новы сеткавы шлях не мяняе таго, што браўзер захоўвае. За фразай «сайт мяне ўсё яшчэ пазнае» хаваюцца тры розныя пытанні, і адказ залежыць ад таго, якое з іх вы насамрэч ставіце.
Тры пытанні, адзін сімптом
Першае: ці пазнае сайт захаваныя кукі? Другое: ці пазнае ён увайшоўшы ўліковы запіс, які захоўваецца незалежна ад любых асобных кукаў? Трэцяе: ці пазнае ён нешта пра браўзер або прыладу, а не захаваны стан? У кожнага сваё выпрабаванне і сваё рашэнне.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Большасць блытаніны ўзнікае, калі змяняюць першае і чакаюць, што за ім пойдзе другое. Сеткавы адрас і сховішча браўзера — асобныя сістэмы, якія проста выкарыстоўвае адна і тая ж старонка.
Што насамрэч нясуць кукі
Кіраванне станам HTTP, апісанае ў RFC 6265, наўмысна простае: сервер задае імя і значэнне з вобласцю дзеяння, а браўзер вяртае іх для запытаў, што адпавядаюць гэтай вобласці. Значэннем можа быць ідэнтыфікатар сесіі, перавага або непразрысты маркер, які сервер супастаўляе з запісам кошыка. Нідзе ў механізме не згадваецца адрас кліента.
Менавіта таму звычайныя ўваходы і кошыкі перажываюць змену сеткі, і таму ж яны перажываюць яе для трэкераў. Адзін і той жа механізм служыць абедзвюм мэтам і не адрознівае іх. У пратаколе няма поля для адраса кліента, таму новаму выхаду няма чаго ануляваць. Сайт, які хацеў бы прывязаць кукі да сеткавага паходжання, мусіў бы дадаць гэтую логіку сам.
Калі сайт вяртае кукі, сервер шукае запіс, на які паказвае гэтае значэнне. Змена маршруту, якім прайшоў запыт, не мяняе пошук, і гэта цалкам тлумачыць назіранне з кошыкам для пакупак.
Вызначыце, што вымярае ваш тэст
Перш чым нешта змяняць, запішыце стан, з якога вы пачынаеце: які профіль браўзера, які ўліковы запіс, якія даныя сайта, які сеткавы шлях. Затым змяніце роўна адзін з іх і назірайце. Тэст, які адначасова змяняе адрас выхаду і профіль браўзера, не даказвае нічога ні пра адно з іх.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartАбедзве каманды выкарыстоўваюць адзін і той жа файл кукаў, а другая прымушае іншы лакальны адрас крыніцы, дзе хост гэта дазваляе. Адказ кошыка аднолькавы ў абодвух выпадках, бо сервер ніколі не бачыў іншай ідэнтычнасці кліента, толькі іншы шлях. Вось механізм у адной пары запытаў, якую можна паўтарыць.
Калі мэта — убачыць, ці пазнае сайт вас без захаванага стану, ачысціце даныя гэтага сайта і паўтарыце. Калі ён усё яшчэ пазнае вас, наступныя падазроныя — увайшоўшы ўліковы запіс, спасылка, па якой вы перайшлі, або характарыстыкі браўзера, а не кукі.
Ачышчайце правільны стан, а не сетку
Выдаленне сховішча аднаго сайта належыць да сродкаў самога браўзера, і яно часта выкідае вас з уліковага запісу або скідвае налады як пабочны эфект. Яно не выдаляе ўліковы запіс ці запісы, якія сэрвіс ужо трымае; для іх патрэбен уласны працэс сэрвісу.
Абмежаванні паміж сайтамі закранаюць іншую частку праблемы. Браўзеры могуць блакаваць або раздзяляць сховішча, якое ўбудаваныя сэрвісы інакш дзялілі б паміж сайтамі, а ўваход ад першай асобы працягвае працаваць. Таму паспяховы ўваход не з’яўляецца доказам таго, што міжсайтавае адсочванне працуе.
Прыватныя вокны — яшчэ адзін інструмент з вузейшым ахопам, чым чакаюць людзі. Сайты ўсё яшчэ могуць ставіць кукі падчас сесіі, а ўваход усё яшчэ вызначае ўліковы запіс. Менавіта завяршэнне прыватнай сесіі адкідвае часовы стан, а гэта значыць зачыніць усе прыватныя вокны, а не адну ўкладку.
Нарэшце, разглядайце ідэнтыфікацыю па адбітку як магчымасць, а не як першае тлумачэнне. Характарыстыкі прылады і браўзера могуць звязваць наведванні без усякіх захаваных кукаў, і ачыстка сховішча іх не закране. Спачатку праверце простыя прычыны, потым пашырце расследаванне і трымайце нататку пра тое, які стан вы змянілі, каб наступнае параўнанне мела сэнс.