Logger du ut av butikken når du bytter VPN-server?
En ny utgangsadresse tømmer ikke kakeboksen. Bestem først om du tester nettverksveien, den innloggede økten eller lagrede nettstedsdata.
Bytt VPN-utgang mens en butikk er åpen i en annen fane, og handlekurven er vanligvis fortsatt der. Det er ikke en VPN-feil; det er nettleseren som gjør nøyaktig det den får beskjed om. En informasjonskapsel sendes av nettleseren, og en ny nettverksvei endrer ikke det nettleseren lagrer. Tre ulike spørsmål skjuler seg bak «nettstedet kjenner meg fortsatt», og svaret avhenger av hvilket du faktisk stiller.
Tre spørsmål, ett symptom
For det første: gjenkjenner nettstedet en lagret informasjonskapsel? For det andre: gjenkjenner det en innlogget konto, som består uavhengig av enhver enkelt informasjonskapsel? For det tredje: gjenkjenner det noe om nettleseren eller enheten i stedet for lagret tilstand? Hvert spørsmål har sin egen test og sin egen løsning.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Det meste av forvirringen kommer av å endre det første og forvente at det andre følger. En nettverksadresse og et nettleserlager er to separate systemer som tilfeldigvis brukes av samme side.
Hva en informasjonskapsel faktisk bærer
HTTP-tilstandsstyring, spesifisert i RFC 6265, er bevisst enkel: serveren setter et navn og en verdi med et omfang, og nettleseren sender det tilbake for forespørsler som samsvarer med omfanget. Verdien kan være en sesjonsidentifikator, en innstilling eller et ugjennomsiktig token som serveren knytter til en handlekurvpost. Ingenting i mekanismen nevner klientens adresse.
Det er derfor vanlige innlogginger og handlekurver overlever en nettverksendring, og det er også derfor de overlever den for trackere. Den samme mekanismen tjener begge formål og skiller ikke mellom dem. Det finnes ikke noe felt i protokollen for klientens adresse, så det er ingenting for en ny utgang å ugyldiggjøre. Et nettsted som ville knytte en informasjonskapsel til et nettverksopphav, måtte legge til den logikken selv.
Når et nettsted sender tilbake en informasjonskapsel, slår serveren opp posten verdien peker på. Å endre ruten forespørselen tok, endrer ikke oppslaget, og det er hele forklaringen på handlekurvobservasjonen.
Bestem hva testen din måler
Før du endrer noe, skriv ned tilstanden du starter fra: hvilken nettleserprofil, hvilken konto, hvilke nettstedsdata, hvilken nettverksvei. Endre så nøyaktig én av dem og observer. En test som endrer utgangsadressen og nettleserprofilen samtidig, beviser ingenting om noen av dem.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartBegge kommandoene bruker samme informasjonskapselfil på nytt, og den andre tvinger frem en annen lokal kildeadresse der verten tillater det. Handlekurvens respons er den samme i begge tilfeller fordi serveren aldri så en annen klientidentitet, bare en annen vei. Det er mekanismen i ett repeterbart par forespørsler.
Hvis målet er å se om nettstedet gjenkjenner deg uten lagret tilstand, tøm nettstedets data og gjenta. Hvis det fortsatt gjenkjenner deg, er de neste mistenkte den innloggede kontoen, en lenke du fulgte, eller nettleserkjennetegn snarere enn en informasjonskapsel.
Tøm riktig tilstand, ikke nettverket
Fjerning av ett nettsteds lagring hører hjemme i nettleserens egne kontroller, og det vil ofte logge deg ut eller tilbakestille innstillinger som en bivirkning. Det sletter ikke kontoen eller postene tjenesten allerede har; de trenger tjenestens egen prosess.
Begrensninger på tvers av nettsteder tar for seg en annen del av problemet. Nettlesere kan blokkere eller dele opp lagring som innebygde tjenester ellers ville delt mellom nettsteder, mens en førsteparts innlogging fortsetter å virke. En vellykket innlogging er derfor ikke bevis på at sporing på tvers av nettsteder fungerer.
Private vinduer er et annet verktøy med snevrere omfang enn folk forventer. Nettsteder kan fortsatt sette informasjonskapsler i løpet av økten, og en innlogging identifiserer fortsatt kontoen. Det er avslutningen av den private økten som forkaster den midlertidige tilstanden, noe som betyr å lukke hvert privat vindu og ikke én fane.
Til slutt: behandle fingeravtrykk som en mulighet og ikke som den første forklaringen. Enhets- og nettleserkjennetegn kan knytte besøk sammen uten noen lagret informasjonskapsel, og tømming av lagring vil ikke berøre dem. Sjekk de enkle årsakene først, utvid deretter undersøkelsen, og noter hvilken tilstand du endret slik at neste sammenligning blir meningsfull.