Blir du logga ut av butikken når du byter VPN-tenar?
Ei ny utgangsadresse tømmer ikkje kakeboksen. Avgjer først om du testar nettverksvegen, den innlogga økta eller lagra nettstadsdata.
Byt VPN-utgang medan ein butikk er open i ei anna fane, og handlekorga er vanlegvis framleis der. Det er ikkje ein VPN-feil; det er nettlesaren som gjer nøyaktig det han får beskjed om. Ein informasjonskapsel blir send av nettlesaren, og ein ny nettverksveg endrar ikkje det nettlesaren lagrar. Tre ulike spørsmål ligg bak «nettstaden kjenner meg framleis», og svaret avheng av kva du faktisk spør om.
Tre spørsmål, eitt symptom
For det første: kjenner nettstaden att ein lagra informasjonskapsel? For det andre: kjenner han att ein innlogga konto, som held seg uavhengig av kvar einskild informasjonskapsel? For det tredje: kjenner han att noko om nettlesaren eller eininga i staden for lagra tilstand? Kvart spørsmål har sin eigen test og si eiga løysing.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Det meste av forvirringa kjem av å endre det første og vente at det andre følgjer. Ei nettverksadresse og eit nettlesarlager er to separate system som tilfeldigvis blir brukte av same side.
Kva ein informasjonskapsel faktisk ber
HTTP-tilstandsstyring, slik han er spesifisert i RFC 6265, er medvite enkel: serveren set eit namn og ein verdi med eit omfang, og nettlesaren sender det tilbake for førespurnader som passar med omfanget. Verdien kan vere ein sesjonsidentifikator, ei innstilling eller eit ugjennomsiktig token som serveren knyter til ein handlekorgpost. Ingenting i mekanismen nemner adressa til klienten.
Det er derfor vanlege innloggingar og handlekorgar overlev eit nettverksbyte, og det er òg derfor dei overlev det for trackarar. Den same mekanismen tener begge føremåla og skil ikkje mellom dei. Det finst ikkje noko felt i protokollen for adressa til klienten, så det er ingenting for ein ny utgang å gjere ugyldig. Ein nettstad som ville knyte ein informasjonskapsel til eit nettverksopphav, måtte leggje til den logikken sjølv.
Når ein nettstad sender tilbake ein informasjonskapsel, slår serveren opp posten som verdien peikar på. Å endre ruta førespurnaden tok, endrar ikkje oppslaget, og det er heile forklaringa på handlekorgobservasjonen.
Avgjer kva testen din måler
Før du endrar noko, skriv ned tilstanden du startar frå: kva nettlesarprofil, kva konto, kva nettstadsdata, kva nettverksveg. Endre så nøyaktig ein av dei og observer. Ein test som endrar utgangsadressa og nettlesarprofilen samstundes, beviser ingenting om nokon av dei.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartBåe kommandoane brukar same informasjonskapselfil på nytt, og den andre tvingar fram ei anna lokal kjeldeadresse der verten tillèt det. Responsen frå handlekorga er den same i båe tilfella fordi serveren aldri såg ein annan klientidentitet, berre ein annan veg. Det er mekanismen i eitt repeterbart par førespurnader.
Viss målet er å sjå om nettstaden kjenner deg att utan lagra tilstand, tøm dataa til nettstaden og gjenta. Viss han framleis kjenner deg att, er dei neste mistenkte den innlogga kontoen, ei lenkje du følgde, eller nettlesarkjenneteikn snarare enn ein informasjonskapsel.
Tøm rett tilstand, ikkje nettverket
Fjerning av lagringa til ein nettstad høyrer heime i nettlesaren sine eigne kontrollar, og det vil ofte logge deg ut eller nullstille innstillingar som ein biverknad. Det slettar ikkje kontoen eller postane tenesta allereie har; dei treng tenesta sin eigen prosess.
Avgrensningar på tvers av nettstader tek for seg ein annan del av problemet. Nettlesarar kan blokkere eller dele opp lagring som innebygde tenester elles ville dele mellom nettstader, medan ei førsteparts innlogging held fram med å verke. Ei vellukka innlogging er derfor ikkje bevis på at sporing på tvers av nettstader fungerer.
Private vindauge er eit anna verktøy med snevrare omfang enn folk ventar. Nettstader kan framleis setje informasjonskapslar i løpet av økta, og ei innlogging identifiserer framleis kontoen. Det er avslutninga av den private økta som kastar den mellombelse tilstanden, noko som tyder å lukke kvart privat vindauge og ikkje éi fane.
Til slutt: handsam fingeravtrykk som ei moglegheit og ikkje som den første forklaringa. Eining- og nettlesarkjenneteikn kan knyte saman besøk utan nokon lagra informasjonskapsel, og tømming av lagring vil ikkje røre dei. Sjekk dei enkle årsakene først, utvid deretter undersøkinga, og noter kva tilstand du endra slik at neste samanlikning blir meiningsfull.