Kirjaako VPN-palvelimen vaihto sinut ulos kaupasta?
Uusi lähtöosoite ei tyhjennä evästepurkkia. Päätä ensin, testaatko verkkopolkua, kirjautunutta istuntoa vai sivuston tallennettuja tietoja.
Vaihda VPN:n lähtö, kun kauppa on auki toisessa välilehdessä, ja ostoskori on yleensä yhä paikallaan. Se ei ole VPN:n vika; se on selain, joka tekee täsmälleen sen, mitä sille sanottiin. Evästeen lähettää selain, eikä uusi verkkopolku muuta sitä, mitä selain tallentaa. Lauseen ”sivusto tuntee minut yhä” takana on kolme eri kysymystä, ja vastaus riippuu siitä, minkä niistä oikeastaan esität.
Kolme kysymystä, yksi oire
Ensimmäinen: tunnistaako sivusto tallennetun evästeen? Toinen: tunnistaako se kirjautuneen tilin, joka säilyy riippumatta mistään yksittäisestä evästeestä? Kolmas: tunnistaako se jotakin selaimesta tai laitteesta tallennetun tilan sijaan? Jokaisella on oma testinsä ja oma keinonsa.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Suurin osa sekaannuksesta syntyy siitä, että muutetaan ensimmäistä ja odotetaan toisen seuraavan. Verkko-osoite ja selaimen tallennustila ovat erillisiä järjestelmiä, joita sama sivu sattuu käyttämään.
Mitä eväste oikeastaan kuljettaa
HTTP:n tilanhallinta, sellaisena kuin se määritellään standardissa RFC 6265, on tarkoituksella yksinkertainen: palvelin asettaa nimen ja arvon laajuuden kera, ja selain palauttaa ne pyynnöille, jotka osuvat tuohon laajuuteen. Arvo voi olla istunnon tunniste, asetus tai läpinäkymätön merkki, jonka palvelin yhdistää ostoskoritietueeseen. Mekanismissa ei mainita asiakkaan osoitetta missään.
Tämän suunnittelun vuoksi tavalliset kirjautumiset ja ostoskorit selviävät verkkomuutoksesta, ja samasta syystä ne selviävät siitä myös seurannan työkaluille. Sama mekanismi palvelee molempia tarkoituksia eikä erota niitä. Protokollassa ei ole kenttää asiakkaan osoitteelle, joten uudella lähdöllä ei ole mitään mitätöitävää. Sivusto, joka haluaisi sitoa evästeen verkkoalkuperään, joutuisi lisäämään sen logiikan itse.
Kun sivusto palauttaa evästeen, palvelin etsii tietueen, johon tuo arvo osoittaa. Pyynnön kulkeman reitin muuttaminen ei muuta tätä hakua, ja siinä on koko selitys ostoskorihavainnolle.
Päätä, mitä testisi mittaa
Ennen kuin muutat mitään, kirjoita muistiin lähtötilanne: mikä selainprofiili, mikä tili, mitkä sivuston tiedot, mikä verkkopolku. Muuta sitten täsmälleen yhtä niistä ja tarkkaile. Testi, joka muuttaa samalla sekä lähtöosoitetta että selainprofiilia, ei todista kummastakaan mitään.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartMolemmat komennot käyttävät samaa evästetiedostoa uudelleen, ja toinen pakottaa eri paikallisen lähdeosoitteen silloin, kun isäntä sen sallii. Ostoskorin vastaus on sama molemmissa tapauksissa, koska palvelin ei koskaan nähnyt erilaista asiakkaan identiteettiä, vain erilaisen polun. Siinä on mekanismi yhdessä toistettavassa pyyntöparissa.
Jos tavoitteena on nähdä, tunnistaako sivusto sinut ilman tallennettua tilaa, tyhjennä kyseisen sivuston tiedot ja toista. Jos se tunnistaa sinut yhä, seuraavia epäiltyjä ovat kirjautunut tili, seuraamasi linkki tai selaimen ominaisuudet eikä eväste.
Tyhjennä oikea tila, älä verkkoa
Yhden sivuston tallennustilan poistaminen kuuluu selaimen omiin säätimiin, ja se kirjaa sinut usein ulos tai nollaa asetuksia sivutuotteena. Se ei poista tiliä tai tietueita, jotka palvelu jo pitää; ne vaativat palvelun oman prosessin.
Sivustojen väliset rajoitukset käsittelevät ongelman toista osaa. Selaimet voivat estää tai jakaa tallennustilan, jota upotetut palvelut muuten jakaisivat sivustojen kesken, samalla kun ensimmäisen osapuolen kirjautuminen toimii edelleen. Onnistunut kirjautuminen ei siis ole todiste siitä, että sivustojen välinen seuranta toimii.
Yksityiset ikkunat ovat toinen työkalu, jonka ulottuvuus on kapeampi kuin ihmiset odottavat. Sivustot voivat yhä asettaa evästeitä istunnon aikana, ja kirjautuminen tunnistaa yhä tilin. Yksityisen istunnon päättäminen on se, mikä hylkää väliaikaisen tilan, eli kaikki yksityiset ikkunat on suljettava eikä vain yhtä välilehteä.
Lopuksi, kohtele sormenjälkitunnistusta mahdollisuutena äläkä ensimmäisenä selityksenä. Laitteen ja selaimen ominaisuudet voivat yhdistää käyntejä ilman yhtään tallennettua evästettä, eikä tallennustilan tyhjentäminen kosketa niitä. Tarkista ensin yksinkertaiset syyt, laajenna sitten tutkintaa ja pane muistiin, mitä tilaa muutit, jotta seuraava vertailu on mielekäs.