क्या VPN सर्वर बदलने से आप किसी दुकान से लॉग आउट हो जाते हैं?
नया एग्ज़िट पता कुकी जार खाली नहीं करता। पहले तय करें कि आप नेटवर्क पथ, लॉग-इन सत्र या साइट का संग्रहीत डेटा जाँच रहे हैं।
किसी दुकान को दूसरे टैब में खुला रखते हुए VPN एग्ज़िट बदलें, और टोकरी आमतौर पर अभी भी वहीं रहती है। यह VPN की विफलता नहीं है; ब्राउज़र ठीक वही कर रहा है जो उसे कहा गया था। कुकी ब्राउज़र भेजता है, और नया नेटवर्क पथ इस बात को नहीं बदलता कि ब्राउज़र क्या संग्रहीत करता है। «साइट अब भी मुझे पहचानती है» के पीछे तीन अलग-अलग सवाल छिपे हैं, और जवाब इस पर निर्भर करता है कि आप वास्तव में कौन-सा पूछ रहे हैं।
तीन सवाल, एक लक्षण
पहला: क्या साइट संग्रहीत कुकी को पहचानती है? दूसरा: क्या वह लॉग-इन किए गए खाते को पहचानती है, जो किसी भी एक कुकी से स्वतंत्र रूप से बना रहता है? तीसरा: क्या वह संग्रहीत स्थिति के बजाय ब्राउज़र या डिवाइस के किसी पहलू को पहचानती है? हर एक की अपनी परीक्षा और अपना उपाय है।
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
अधिकांश उलझन पहले को बदलकर दूसरे के पीछे आने की अपेक्षा से पैदा होती है। नेटवर्क पता और ब्राउज़र स्टोर दो अलग प्रणालियाँ हैं जिन्हें संयोग से वही पेज इस्तेमाल करता है।
कुकी वास्तव में क्या ले जाती है
HTTP स्थिति प्रबंधन, जैसा RFC 6265 में निर्दिष्ट है, जानबूझकर सरल है: सर्वर एक स्कोप के साथ नाम और मान सेट करता है, और ब्राउज़र उन्हें उन अनुरोधों के लिए वापस भेजता है जो उस स्कोप से मेल खाते हैं। मान सत्र पहचानकर्ता, कोई वरीयता या कोई अपारदर्शी टोकन हो सकता है जिसे सर्वर टोकरी के रिकॉर्ड से जोड़ता है। इस तंत्र में कहीं भी क्लाइंट के पते का ज़िक्र नहीं है।
यही डिज़ाइन कारण है कि सामान्य लॉग-इन और टोकरियाँ नेटवर्क परिवर्तन को पार कर जाते हैं, और यही कारण है कि वे ट्रैकरों के मामले में भी इसे पार कर जाते हैं। वही तंत्र दोनों उद्देश्यों की सेवा करता है और उनमें भेद नहीं करता। प्रोटोकॉल में क्लाइंट के पते के लिए कोई फ़ील्ड नहीं है, इसलिए नए एग्ज़िट के पास अमान्य करने के लिए कुछ नहीं है। जो साइट कुकी को किसी नेटवर्क मूल से बाँधना चाहती, उसे वह तर्क स्वयं जोड़ना पड़ता।
जब कोई साइट कुकी वापस भेजती है, तो सर्वर उस रिकॉर्ड को खोजता है जिसकी ओर वह मान इंगित करता है। अनुरोध ने जो मार्ग लिया उसे बदलने से वह खोज नहीं बदलती, और खरीदारी की टोकरी वाले अवलोकन की पूरी व्याख्या यही है।
तय करें कि आपकी परीक्षा क्या मापती है
कुछ भी बदलने से पहले वह स्थिति लिख लें जिससे आप शुरू कर रहे हैं: कौन-सा ब्राउज़र प्रोफ़ाइल, कौन-सा खाता, कौन-सा साइट डेटा, कौन-सा नेटवर्क पथ। फिर उनमें से ठीक एक बदलें और देखें। जो परीक्षा एक साथ एग्ज़िट पता और ब्राउज़र प्रोफ़ाइल बदलती है, वह दोनों में से किसी के बारे में कुछ साबित नहीं करती।
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartदोनों कमांड एक ही कुकी फ़ाइल का पुन: उपयोग करते हैं, और दूसरा वहाँ अलग स्थानीय स्रोत पता थोपता है जहाँ होस्ट अनुमति देता है। दोनों मामलों में टोकरी की प्रतिक्रिया एक ही है क्योंकि सर्वर ने कभी अलग क्लाइंट पहचान नहीं देखी, केवल अलग पथ देखा। एक ही दोहराए जा सकने वाले अनुरोध-युग्म में यही तंत्र है।
अगर लक्ष्य यह देखना है कि साइट आपको संग्रहीत स्थिति के बिना पहचानती है या नहीं, तो उस साइट का डेटा साफ़ करें और दोहराएँ। अगर वह फिर भी आपको पहचानती है, तो अगले संदिग्ध लॉग-इन किया गया खाता, आपके द्वारा अपनाया गया लिंक या कुकी के बजाय ब्राउज़र की विशेषताएँ हैं।
सही स्थिति साफ़ करें, नेटवर्क नहीं
एक साइट का स्टोरेज हटाना ब्राउज़र के अपने नियंत्रणों का काम है, और यह अक्सर दुष्प्रभाव के रूप में आपको लॉग आउट कर देगा या वरीयताएँ रीसेट कर देगा। यह खाते या वह रिकॉर्ड नहीं मिटाता जो सेवा पहले से रखती है; उनके लिए सेवा की अपनी प्रक्रिया चाहिए।
क्रॉस-साइट प्रतिबंध समस्या का दूसरा हिस्सा संभालते हैं। ब्राउज़र उस स्टोरेज को अवरुद्ध या विभाजित कर सकते हैं जिसे एम्बेडेड सेवाएँ अन्यथा साइटों के बीच साझा करतीं, जबकि प्रथम-पक्ष लॉग-इन काम करता रहता है। इसलिए सफल लॉग-इन इस बात का प्रमाण नहीं है कि क्रॉस-साइट ट्रैकिंग काम कर रही है।
निजी विंडो एक और उपकरण हैं जिनका दायरा लोगों की अपेक्षा से संकरा है। साइटें सत्र के दौरान अब भी कुकी सेट कर सकती हैं, और लॉग-इन अब भी खाते की पहचान करता है। निजी सत्र समाप्त करना ही अस्थायी स्थिति को छोड़ता है, जिसका अर्थ है एक टैब नहीं, हर निजी विंडो बंद करना।
अंत में, फ़िंगरप्रिंटिंग द्वारा पहचान को पहली व्याख्या नहीं, एक संभावना मानें। डिवाइस और ब्राउज़र की विशेषताएँ बिना किसी संग्रहीत कुकी के विज़िट जोड़ सकती हैं, और स्टोरेज साफ़ करने से उन्हें छुआ नहीं जाएगा। पहले सरल कारण जाँचें, फिर जाँच का दायरा बढ़ाएँ, और लिखें कि आपने कौन-सी स्थिति बदली ताकि अगली तुलना अर्थपूर्ण हो।