VPN सर्व्हर बदलल्यास तुम्ही दुकानातून लॉग आउट होता का?
नवीन एक्झिट पत्ता कुकी जार रिकामा करत नाही. आधी ठरवा की तुम्ही नेटवर्क मार्ग, साइन-इन केलेले सत्र की संचित साइट डेटा तपासत आहात.
दुकान दुसऱ्या टॅबमध्ये उघडे असताना VPN एक्झिट बदलल्यास बास्केट सहसा तिथेच असते. हे VPN चे अपयश नाही; ब्राउझरला सांगितलेले तंतोतंत करत असते. कुकी ब्राउझर पाठवतो, आणि नवीन नेटवर्क मार्ग ब्राउझर जे साठवतो ते बदलत नाही. «साइट अजूनही मला ओळखते» या वाक्यामागे तीन वेगळे प्रश्न दडलेले आहेत, आणि उत्तर तुम्ही प्रत्यक्षात कोणता प्रश्न विचारत आहात यावर अवलंबून आहे.
तीन प्रश्न, एक लक्षण
पहिला: साइट साठवलेली कुकी ओळखते का? दुसरा: कोणत्याही एका कुकीपासून स्वतंत्रपणे टिकणारे साइन-इन खाते ओळखते का? तिसरा: साठवलेली स्थिती नव्हे, तर ब्राउझर किंवा उपकरणाबद्दल काहीतरी ओळखते का? प्रत्येकाची स्वतःची चाचणी आणि स्वतःचा उपाय आहे.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
बहुतेक गोंधळ पहिला बदलून दुसरा येईल अशी अपेक्षा करण्यातून येतो. नेटवर्क पत्ता आणि ब्राउझर स्टोअर या दोन वेगळ्या प्रणाली आहेत ज्या एकाच पानाकडून अपघाताने वापरल्या जातात.
कुकी प्रत्यक्षात काय वाहून नेते
RFC 6265 मध्ये निर्दिष्ट HTTP स्थिती व्यवस्थापन जाणीवपूर्वक सोपे आहे: सर्व्हर व्याप्तीसह नाव आणि मूल्य ठेवतो, आणि त्या व्याप्तीशी जुळणाऱ्या विनंत्यांसाठी ब्राउझर ते परत पाठवतो. मूल्य सत्र ओळखकर्ता, प्राधान्य किंवा सर्व्हर बास्केट नोंदीशी जोडणारे अपारदर्शक टोकन असू शकते. या यंत्रणेत कुठेही क्लायंटच्या पत्त्याचा उल्लेख नाही.
हीच रचना सामान्य लॉगिन आणि बास्केट नेटवर्क बदल टिकून राहण्याचे कारण आहे, आणि ट्रॅकर्ससाठीही ते टिकून राहण्याचे कारण आहे. एकच यंत्रणा दोन्ही हेतूंसाठी काम करते आणि त्यांच्यात फरक करत नाही. प्रोटोकॉलमध्ये क्लायंटच्या पत्त्यासाठी क्षेत्र नाही, त्यामुळे नवीन एक्झिटला अवैध करण्यासारखे काही नाही. कुकी नेटवर्क उगमाशी जोडायची असेल तर साइटला ते तर्क स्वतः जोडावे लागतील.
साइट कुकी परत देतो तेव्हा सर्व्हर ते मूल्य ज्या नोंदीकडे निर्देश करते ती शोधतो. विनंतीने घेतलेला मार्ग बदलल्याने तो शोध बदलत नाही, आणि खरेदीच्या बास्केटच्या निरीक्षणाचे हेच संपूर्ण स्पष्टीकरण आहे.
तुमची चाचणी काय मोजत आहे ते ठरवा
काहीही बदलण्यापूर्वी तुम्ही सुरू करत असलेली स्थिती लिहून ठेवा: कोणते ब्राउझर प्रोफाइल, कोणते खाते, कोणता साइट डेटा, कोणता नेटवर्क मार्ग. नंतर त्यातील नेमके एक बदला आणि निरीक्षण करा. एक्झिट पत्ता आणि ब्राउझर प्रोफाइल एकाच वेळी बदलणारी चाचणी त्यांच्यापैकी कोणाबद्दलही काही सिद्ध करत नाही.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartदोन्ही आदेश एकच कुकी फाइल पुन्हा वापरतात, आणि दुसरा होस्ट परवानगी देतो तिथे वेगळा स्थानिक स्रोत पत्ता सक्तीने वापरतो. दोन्ही बाबतीत बास्केटचा प्रतिसाद सारखाच आहे कारण सर्व्हरने कधीही वेगळी क्लायंट ओळख पाहिली नाही, फक्त वेगळा मार्ग पाहिला. पुनरावृत्ती करता येणाऱ्या एका विनंती-जोडीतली हीच यंत्रणा आहे.
साठवलेल्या स्थितीशिवाय साइट तुम्हाला ओळखते का हे पाहणे हे ध्येय असेल, तर त्या साइटचा डेटा साफ करा आणि पुन्हा करा. तरीही ती ओळखत असेल, तर पुढील संशयित साइन-इन खाते, तुम्ही अनुसरलेली लिंक किंवा ब्राउझरची वैशिष्ट्ये आहेत, कुकी नाही.
नेटवर्क नव्हे, योग्य स्थिती साफ करा
एका साइटचे स्टोरेज काढणे ब्राउझरच्या स्वतःच्या नियंत्रणांमध्ये येते, आणि त्याचा बाजूचा परिणाम म्हणून अनेकदा तुम्हाला लॉग आउट करते किंवा प्राधान्ये रीसेट करते. ते खाते किंवा सेवेकडे आधीच असलेल्या नोंदी हटवत नाही; त्यांना सेवेची स्वतःची प्रक्रिया लागते.
क्रॉस-साइट निर्बंध समस्येचा वेगळा भाग हाताळतात. एम्बेड केलेल्या सेवा साइट्समध्ये सामायिक करू शकणारे स्टोरेज ब्राउझर अडवू किंवा विभाजित करू शकतात, तर प्रथम-पक्ष लॉगिन काम करत राहते. त्यामुळे यशस्वी लॉगिन हा क्रॉस-साइट ट्रॅकिंग कार्यरत असल्याचा पुरावा नाही.
खाजगी विंडो हे लोक अपेक्षा करतात त्यापेक्षा अरुंद व्याप्तीचे आणखी एक साधन आहे. साइट्स सत्रादरम्यान अजूनही कुकीज ठेवू शकतात, आणि लॉगिन अजूनही खाते ओळखते. तात्पुरती स्थिती टाकून देणे म्हणजे खाजगी सत्र संपवणे, ज्याचा अर्थ एक टॅब नव्हे तर प्रत्येक खाजगी विंडो बंद करणे.
शेवटी, फिंगरप्रिंटिंगद्वारे ओळखण्याकडे पहिले स्पष्टीकरण नव्हे तर एक शक्यता म्हणून पहा. उपकरण आणि ब्राउझरची वैशिष्ट्ये कोणत्याही साठवलेल्या कुकीशिवाय भेटी जोडू शकतात, आणि स्टोरेज साफ केल्याने त्यांना धक्का लागणार नाही. आधी साधी कारणे तपासा, नंतर तपासणीचा विस्तार करा, आणि पुढील तुलना अर्थपूर्ण व्हावी म्हणून कोणती स्थिती बदलली हे नोंदवून ठेवा.