Odjavljuje li vas promjena VPN poslužitelja iz trgovine?
Nova izlazna adresa ne prazni spremnik kolačića. Prvo odlučite testirate li mrežni put, prijavljenu sesiju ili pohranjene podatke stranice.
Promijenite VPN izlaz dok je trgovina otvorena u drugoj kartici i košarica je obično još tu. To nije kvar VPN-a; to preglednik radi točno ono što mu je rečeno. Kolačić šalje preglednik, a novi mrežni put ne mijenja ono što preglednik pohranjuje. Tri različita pitanja kriju se iza „stranica me još poznaje“, a odgovor ovisi o tome koje zapravo postavljate.
Tri pitanja, jedan simptom
Prvo: prepoznaje li stranica pohranjeni kolačić? Drugo: prepoznaje li prijavljeni račun, koji opstaje neovisno o bilo kojem pojedinačnom kolačiću? Treće: prepoznaje li nešto o pregledniku ili uređaju, a ne pohranjeno stanje? Svako ima svoj test i svoj lijek.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Većina zabune dolazi od toga da promijenite prvo i očekujete da drugo slijedi. Mrežna adresa i pohrana preglednika dva su odvojena sustava koje slučajno koristi ista stranica.
Što kolačić zapravo nosi
Upravljanje stanjem u HTTP-u, kako ga propisuje RFC 6265, namjerno je jednostavno: poslužitelj postavlja ime i vrijednost s rasponom, a preglednik ih vraća za zahtjeve koji odgovaraju tom rasponu. Vrijednost može biti identifikator sesije, postavka ili neprozirni token koji poslužitelj povezuje sa zapisom košarice. Nijedan dio mehanizma ne spominje adresu klijenta.
Zbog tog dizajna obične prijave i košarice preživljavaju promjenu mreže, a zbog toga je preživljavaju i za trackere. Isti mehanizam služi objema svrhama i ne razlikuje ih. U protokolu nema polja za adresu klijenta, pa nema ničega što bi novi izlaz mogao poništiti. Stranica koja bi htjela vezati kolačić za mrežno podrijetlo morala bi sama dodati tu logiku.
Kada stranica vrati kolačić, poslužitelj traži zapis na koji ta vrijednost pokazuje. Promjena rute kojom je zahtjev išao ne mijenja to traženje, i to je cijelo objašnjenje zapažanja s košaricom za kupovinu.
Odlučite što vaš test mjeri
Prije nego što bilo što promijenite, zapišite stanje s kojeg počinjete: koji profil preglednika, koji račun, koje podatke stranice, koji mrežni put. Zatim promijenite točno jedno od toga i promatrajte. Test koji istodobno mijenja izlaznu adresu i profil preglednika ne dokazuje ništa ni o jednom od njih.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartObje naredbe koriste istu datoteku kolačića, a druga nameće drugu lokalnu izvornu adresu gdje to host dopušta. Odgovor košarice isti je u oba slučaja jer poslužitelj nikada nije vidio drugi identitet klijenta, samo drugi put. To je mehanizam u jednom paru zahtjeva koji se može ponoviti.
Ako je cilj vidjeti prepoznaje li vas stranica bez pohranjenog stanja, obrišite podatke te stranice i ponovite. Ako vas i dalje prepoznaje, sljedeći sumnjivci su prijavljeni račun, poveznica koju ste slijedili ili značajke preglednika, a ne kolačić.
Obrišite pravo stanje, a ne mrežu
Uklanjanje pohrane jedne stranice pripada vlastitim kontrolama preglednika i često će vas odjaviti ili resetirati postavke kao nuspojavu. Ono ne briše račun ni zapise koje servis već drži; za njih je potreban vlastiti postupak servisa.
Ograničenja između stranica rješavaju drugi dio problema. Preglednici mogu blokirati ili razdvojiti pohranu koju bi ugrađene usluge inače dijelile među stranicama, dok prijava s prve strane nastavlja raditi. Uspješna prijava stoga nije dokaz da praćenje između stranica funkcionira.
Privatni prozori još su jedan alat užeg opsega nego što ljudi očekuju. Stranice ipak mogu postavljati kolačiće tijekom sesije, a prijava i dalje identificira račun. Kraj privatne sesije ono je što odbacuje privremeno stanje, što znači zatvoriti svaki privatni prozor, a ne jednu karticu.
Na kraju, tretirajte prepoznavanje po otisku kao mogućnost, a ne prvo objašnjenje. Značajke uređaja i preglednika mogu povezati posjete bez ikakvog pohranjenog kolačića, a brisanje pohrane ih neće dotaknuti. Provjerite prvo jednostavne uzroke, zatim proširite istragu i zabilježite koje ste stanje promijenili kako bi sljedeća usporedba imala smisla.