VPN সার্ভার বদলালে কি আপনি শপ থেকে লগ আউট হয়ে যান?
নতুন এক্সিট ঠিকানা কুকি জার খালি করে না। আগে ঠিক করুন আপনি নেটওয়ার্ক পথ, লগ-ইন সেশন, নাকি সংরক্ষিত সাইট ডেটা পরীক্ষা করছেন।
অন্য ট্যাবে একটি শপ খোলা থাকা অবস্থায় VPN এক্সিট বদলান, ঝুড়ি সাধারণত তখনও থাকে। এটি VPN-এর ব্যর্থতা নয়; ব্রাউজার ঠিক যা করতে বলা হয়েছে তাই করছে। কুকি ব্রাউজারই পাঠায়, আর নতুন নেটওয়ার্ক পথ ব্রাউজার যা সংরক্ষণ করে তা বদলায় না। «সাইটটি এখনও আমাকে চেনে»—এর পেছনে তিনটি আলাদা প্রশ্ন লুকিয়ে আছে, আর উত্তর নির্ভর করে আপনি আসলে কোনটি জিজ্ঞাসা করছেন তার উপর।
তিনটি প্রশ্ন, একটি উপসর্গ
প্রথম: সাইটটি কি সংরক্ষিত কুকি চিনছে? দ্বিতীয়: এটি কি লগ-ইন করা অ্যাকাউন্ট চিনছে, যা কোনো একক কুকির উপর নির্ভর না করে টিকে থাকে? তৃতীয়: এটি কি সংরক্ষিত অবস্থা নয়, বরং ব্রাউজার বা ডিভাইসের কোনো কিছু চিনছে? প্রত্যেকের নিজস্ব পরীক্ষা ও নিজস্ব প্রতিকার আছে।
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
বেশিরভাগ বিভ্রান্তি আসে প্রথমটি বদলে দ্বিতীয়টিও অনুসরণ করবে বলে আশা করা থেকে। নেটওয়ার্ক ঠিকানা আর ব্রাউজার স্টোর আলাদা সিস্টেম, যেগুলো একই পৃষ্ঠা ব্যবহার করে মাত্র।
কুকি আসলে কী বহন করে
RFC 6265-এ নির্দিষ্ট HTTP অবস্থা ব্যবস্থাপনা ইচ্ছাকৃতভাবেই সরল: সার্ভার একটি নাম ও মান একটি পরিধিসহ সেট করে, আর ব্রাউজার সেই পরিধির সঙ্গে মেলা অনুরোধে তা ফেরত দেয়। মানটি একটি সেশন শনাক্তকারী, একটি পছন্দ, বা একটি অস্বচ্ছ টোকেন হতে পারে যা সার্ভার একটি ঝুড়ির রেকর্ডের সঙ্গে মেলায়। ব্যবস্থাটিতে কোথাও ক্লায়েন্টের ঠিকানার উল্লেখ নেই।
এই নকশার কারণেই সাধারণ লগ-ইন ও ঝুড়ি নেটওয়ার্ক পরিবর্তন সত্ত্বেও টিকে থাকে, এবং এই কারণেই ট্র্যাকারদের ক্ষেত্রেও টিকে থাকে। একই ব্যবস্থা দুই উদ্দেশ্যেই কাজ করে এবং তাদের মধ্যে পার্থক্য করে না। প্রোটোকলে ক্লায়েন্টের ঠিকানার জন্য কোনো ফিল্ড নেই, তাই নতুন এক্সিটের বাতিল করার মতো কিছু নেই। কোনো সাইট যদি কুকিকে নেটওয়ার্ক উৎসের সঙ্গে বাঁধতে চায়, তাকে সেই লজিক নিজেই যোগ করতে হবে।
কোনো সাইট কুকি ফেরত দিলে সার্ভার দেখে সেই মানটি কোন রেকর্ডের দিকে ইশারা করছে। অনুরোধ যে পথে গেছে তা বদলালে সেই খোঁজ বদলায় না, আর কেনাকাটার ঝুড়ির পর্যবেক্ষণের সম্পূর্ণ ব্যাখ্যা এটাই।
আপনার পরীক্ষা কী মাপছে তা ঠিক করুন
কিছু বদলানোর আগে যে অবস্থা থেকে শুরু করছেন তা লিখে রাখুন: কোন ব্রাউজার প্রোফাইল, কোন অ্যাকাউন্ট, কোন সাইট ডেটা, কোন নেটওয়ার্ক পথ। তারপর এর মধ্য থেকে ঠিক একটি বদলে পর্যবেক্ষণ করুন। যে পরীক্ষা একসঙ্গে এক্সিট ঠিকানা ও ব্রাউজার প্রোফাইল বদলায়, তা কোনোটির সম্পর্কেই কিছু প্রমাণ করে না।
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartদুটি কমান্ডই একই কুকি ফাইল পুনরায় ব্যবহার করে, আর দ্বিতীয়টি হোস্ট অনুমতি দিলে ভিন্ন স্থানীয় উৎস ঠিকানা বাধ্য করে। দুই ক্ষেত্রেই ঝুড়ির প্রতিক্রিয়া একই, কারণ সার্ভার কখনও ভিন্ন ক্লায়েন্ট পরিচয় দেখেনি, শুধু ভিন্ন পথ দেখেছে। পুনরুৎপাদনযোগ্য এক জোড়া অনুরোধেই এটাই ব্যবস্থাটি।
উদ্দেশ্য যদি হয় সংরক্ষিত অবস্থা ছাড়া সাইট আপনাকে চেনে কি না দেখা, তবে সেই সাইটের ডেটা মুছে আবার করুন। যদি তবুও চেনে, পরবর্তী সন্দেহভাজন হলো লগ-ইন করা অ্যাকাউন্ট, আপনি যে লিঙ্ক অনুসরণ করেছেন, বা কুকি নয় বরং ব্রাউজারের বৈশিষ্ট্য।
সঠিক অবস্থা মুছুন, নেটওয়ার্ক নয়
একটি সাইটের স্টোরেজ সরানো ব্রাউজারের নিজস্ব নিয়ন্ত্রণের কাজ, আর এটি প্রায়ই পার্শ্বপ্রতিক্রিয়া হিসেবে আপনাকে লগ আউট করবে বা পছন্দ রিসেট করবে। এটি অ্যাকাউন্ট বা সেবা ইতিমধ্যে রাখা রেকর্ড মুছে না; সেগুলোর জন্য সেবার নিজস্ব প্রক্রিয়া দরকার।
ক্রস-সাইট নিষেধাজ্ঞা সমস্যার অন্য অংশের সমাধান করে। ব্রাউজার এমন স্টোরেজ ব্লক বা বিভাজিত করতে পারে যা এমবেড করা সেবা নাহলে সাইটগুলোর মধ্যে ভাগ করত, অথচ প্রথম-পক্ষের লগ-ইন কাজ করতে থাকে। তাই সফল লগ-ইন প্রমাণ নয় যে ক্রস-সাইট ট্র্যাকিং কাজ করছে।
প্রাইভেট উইন্ডো আরেকটি হাতিয়ার, যার পরিধি মানুষ যতটা ভাবে তার চেয়ে সংকীর্ণ। সেশন চলাকালীন সাইটগুলো এখনও কুকি সেট করতে পারে, আর লগ-ইন এখনও অ্যাকাউন্ট শনাক্ত করে। প্রাইভেট সেশন শেষ করাই অস্থায়ী অবস্থা ফেলে দেয়, অর্থাৎ একটি ট্যাব নয়, প্রতিটি প্রাইভেট উইন্ডো বন্ধ করতে হবে।
শেষে, ফিঙ্গারপ্রিন্টিংকে প্রথম ব্যাখ্যা নয়, একটি সম্ভাবনা হিসেবে ধরুন। ডিভাইস ও ব্রাউজারের বৈশিষ্ট্য কোনো সংরক্ষিত কুকি ছাড়াই ভিজিটগুলোকে যুক্ত করতে পারে, আর স্টোরেজ মুছলে সেগুলোতে হাত পড়ে না। আগে সহজ কারণগুলো দেখুন, তারপর তদন্ত বিস্তৃত করুন, এবং কোন অবস্থা বদলেছেন তা টুকে রাখুন যাতে পরের তুলনাটি অর্থবহ হয়।