Kas VPN-serveri vahetamine logib sind poest välja?
Uus väljumisaadress ei tühjenda küpsiste purki. Otsusta esmalt, kas testid võrguteed, sisselogitud sessiooni või saidi salvestatud andmeid.
Vaheta VPN-i väljumine, kui pood on teises vahekaardis lahti, ja ostukorv on tavaliselt ikka alles. See ei ole VPN-i rike; see on brauser, mis teeb täpselt seda, mida talle öeldi. Küpsise saadab brauser ja uus võrgutee ei muuda seda, mida brauser salvestab. Fraasi «sait tunneb mind endiselt» taga peitub kolm erinevat küsimust ja vastus sõltub sellest, millist neist sa tegelikult küsid.
Kolm küsimust, üks sümptom
Esiteks: kas sait tunneb ära salvestatud küpsise? Teiseks: kas ta tunneb ära sisselogitud konto, mis püsib sõltumata ükskõik millisest üksikust küpsisest? Kolmandaks: kas ta tunneb ära midagi brauseri või seadme kohta, mitte salvestatud olekut? Igal neist on oma test ja oma ravim.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Enamik segadust tuleb sellest, et muudetakse esimest ja oodatakse, et teine järgneb. Võrguaadress ja brauseri hoidla on eraldi süsteemid, mida juhtub kasutama sama leht.
Mida küpsis tegelikult kannab
HTTP olekuhaldus, nagu see on määratletud standardis RFC 6265, on meelega lihtne: server seab nime ja väärtuse koos ulatusega ning brauser tagastab need päringutele, mis selle ulatusega sobivad. Väärtus võib olla sessiooni identifikaator, eelistus või läbipaistmatu luba, mille server seob ostukorvi kirjega. Mehhanismis ei mainita kuskil kliendi aadressi.
See disain on põhjus, miks tavalised sisselogimised ja ostukorvid muudatuse üle elavad, ja ka põhjus, miks need seda jälitajate puhul üle elavad. Sama mehhanism teenib mõlemat eesmärki ega erista neid. Protokollis ei ole kliendi aadressi jaoks välja, seega ei ole midagi, mida uus väljumine saaks kehtetuks muuta. Sait, mis tahaks küpsise võrgu päritoluga siduda, peaks selle loogika ise lisama.
Kui sait küpsise tagasi saadab, otsib server üles kirje, millele see väärtus osutab. Marsruudi muutmine, mille päring läbis, ei muuda seda otsingut, ja see on kogu ostukorvi vaatluse seletus.
Otsusta, mida sinu test mõõdab
Enne kui midagi muudad, kirjuta üles olek, millest alustad: milline brauseri profiil, milline konto, millised saidi andmed, milline võrgutee. Seejärel muuda täpselt ühte neist ja jälgi. Test, mis muudab korraga nii väljumisaadressi kui ka brauseri profiili, ei tõesta nende kohta midagi.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartMõlemad käsud kasutavad uuesti sama küpsisefaili ja teine sunnib teistsugust kohalikku lähteaadressi seal, kus host seda lubab. Ostukorvi vastus on mõlemal juhul sama, sest server ei näinud kunagi teistsugust kliendi identiteeti, vaid ainult teistsugust teed. See on mehhanism ühes korratavas päringute paaris.
Kui eesmärk on näha, kas sait tunneb sind ära ilma salvestatud olekuta, tühjenda selle saidi andmed ja korda. Kui ta tunneb sind endiselt ära, on järgmised kahtlusalused sisselogitud konto, link, millele järgnesid, või brauseri omadused, mitte küpsis.
Tühjenda õige olek, mitte võrk
Ühe saidi hoidla eemaldamine kuulub brauseri enda juhtelementide juurde ja logib sind sageli välja või lähtestab eelistusi kõrvalmõjuna. See ei kustuta kontot ega kirjeid, mida teenus juba hoiab; nende jaoks on vaja teenuse enda protsessi.
Saitidevahelised piirangud käsitlevad probleemi teist osa. Brauserid võivad blokeerida või jaotada hoidlat, mida manustatud teenused muidu saitide vahel jagaksid, samal ajal kui esimese osapoole sisselogimine töötab edasi. Seega ei ole õnnestunud sisselogimine tõend selle kohta, et saitidevaheline jälitamine töötab.
Privaatsed aknad on veel üks vahend, mille ulatus on kitsam, kui inimesed ootavad. Saidid saavad sessiooni ajal ikka küpsiseid seada ja sisselogimine identifitseerib ikka konto. Just privaatse sessiooni lõpetamine heidab kõrvale ajutise oleku, mis tähendab kõigi privaatsete akende sulgemist, mitte ühe vahekaardi.
Lõpuks käsitle sõrmejälje järgi tuvastamist võimalusena, mitte esimese seletusena. Seadme ja brauseri omadused võivad siduda külastusi ilma ühegi salvestatud küpsiseta ja hoidla tühjendamine ei puuduta neid. Kontrolli esmalt lihtsaid põhjusi, seejärel laienda uurimist, ja pane kirja, millist olekut muutsid, et järgmine võrdlus oleks mõttekas.