Odjavljuje li vas promjena VPN servera iz trgovine?
Nova izlazna adresa ne prazni spremnik kolačića. Prvo odlučite testirate li mrežni put, prijavljenu sesiju ili pohranjene podatke sajta.
Promijenite VPN izlaz dok je trgovina otvorena u drugoj kartici i korpa je obično još tu. To nije kvar VPN-a; to preglednik radi tačno ono što mu je rečeno. Kolačić šalje preglednik, a novi mrežni put ne mijenja ono što preglednik čuva. Tri različita pitanja kriju se iza „sajt me još poznaje“, a odgovor zavisi od toga koje zapravo postavljate.
Tri pitanja, jedan simptom
Prvo: prepoznaje li sajt pohranjeni kolačić? Drugo: prepoznaje li prijavljeni račun, koji opstaje nezavisno od bilo kojeg pojedinačnog kolačića? Treće: prepoznaje li nešto o pregledniku ili uređaju, a ne pohranjeno stanje? Svako ima svoj test i svoj lijek.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Većina zabune dolazi od toga da promijenite prvo i očekujete da drugo slijedi. Mrežna adresa i pohrana preglednika dva su odvojena sistema koje slučajno koristi ista stranica.
Šta kolačić zapravo nosi
Upravljanje stanjem u HTTP-u, kako ga propisuje RFC 6265, namjerno je jednostavno: server postavlja ime i vrijednost s opsegom, a preglednik ih vraća za zahtjeve koji odgovaraju tom opsegu. Vrijednost može biti identifikator sesije, postavka ili neprozirni token koji server povezuje sa zapisom korpe. Nijedan dio mehanizma ne spominje adresu klijenta.
Zbog tog dizajna obične prijave i korpe preživljavaju promjenu mreže, a zbog toga je preživljavaju i za trackere. Isti mehanizam služi objema svrhama i ne razlikuje ih. U protokolu nema polja za adresu klijenta, pa nema ničega što bi novi izlaz mogao poništiti. Sajt koji bi htio vezati kolačić za mrežno porijeklo morao bi sam dodati tu logiku.
Kada sajt vrati kolačić, server traži zapis na koji ta vrijednost pokazuje. Promjena rute kojom je zahtjev išao ne mijenja to traženje, i to je cijelo objašnjenje zapažanja s korpom za kupovinu.
Odlučite šta vaš test mjeri
Prije nego što bilo šta promijenite, zapišite stanje s kojeg počinjete: koji profil preglednika, koji račun, koje podatke sajta, koji mrežni put. Zatim promijenite tačno jedno od toga i posmatrajte. Test koji istovremeno mijenja izlaznu adresu i profil preglednika ne dokazuje ništa ni o jednom od njih.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartObje komande koriste istu datoteku kolačića, a druga nameće drugu lokalnu izvornu adresu gdje to host dopušta. Odgovor korpe isti je u oba slučaja jer server nikada nije vidio drugi identitet klijenta, samo drugi put. To je mehanizam u jednom paru zahtjeva koji se može ponoviti.
Ako je cilj vidjeti prepoznaje li vas sajt bez pohranjenog stanja, obrišite podatke tog sajta i ponovite. Ako vas i dalje prepoznaje, sljedeći sumnjivci su prijavljeni račun, link koji ste slijedili ili karakteristike preglednika, a ne kolačić.
Obrišite pravo stanje, a ne mrežu
Uklanjanje pohrane jednog sajta pripada vlastitim kontrolama preglednika i često će vas odjaviti ili resetovati postavke kao nuspojavu. Ono ne briše račun ni zapise koje servis već drži; za njih je potreban vlastiti postupak servisa.
Ograničenja između sajtova rješavaju drugi dio problema. Preglednici mogu blokirati ili razdvojiti pohranu koju bi ugrađeni servisi inače dijelili među sajtovima, dok prijava s prve strane nastavlja raditi. Uspješna prijava stoga nije dokaz da praćenje između sajtova funkcioniše.
Privatni prozori još su jedan alat užeg opsega nego što ljudi očekuju. Sajtovi ipak mogu postavljati kolačiće tokom sesije, a prijava i dalje identifikuje račun. Kraj privatne sesije je ono što odbacuje privremeno stanje, što znači zatvoriti svaki privatni prozor, a ne jednu karticu.
Na kraju, tretirajte prepoznavanje po otisku kao mogućnost, a ne prvo objašnjenje. Karakteristike uređaja i preglednika mogu povezati posjete bez ikakvog pohranjenog kolačića, a brisanje pohrane ih neće dotaći. Provjerite prvo jednostavne uzroke, zatim proširite istragu i zabilježite koje ste stanje promijenili kako bi sljedeće poređenje imalo smisla.