Odhlási vás zmena servera VPN z obchodu?
Nová výstupná adresa nevyprázdni nádobu na cookies. Najprv sa rozhodnite, či testujete sieťovú cestu, prihlásenú reláciu alebo uložené údaje stránky.
Zmeňte výstup VPN, kým je obchod otvorený v inej karte, a košík zvyčajne stále je na mieste. Nie je to zlyhanie VPN; je to prehliadač, ktorý robí presne to, čo mu bolo povedané. Cookie odosiela prehliadač a nová sieťová cesta nemení to, čo prehliadač ukladá. Za vetou „stránka ma stále pozná“ sa skrývajú tri rôzne otázky a odpoveď závisí od toho, ktorú skutočne kladiete.
Tri otázky, jeden príznak
Prvá: rozpoznáva stránka uložený cookie? Druhá: rozpoznáva prihlásený účet, ktorý pretrváva nezávisle od akéhokoľvek jednotlivého cookie? Tretia: rozpoznáva niečo o prehliadači alebo zariadení namiesto uloženého stavu? Každá má vlastný test a vlastný liek.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Väčšina zmätku vzniká tým, že zmeníte prvú a očakávate, že druhá bude nasledovať. Sieťová adresa a úložisko prehliadača sú dva oddelené systémy, ktoré náhodou používa tá istá stránka.
Čo cookie skutočne nesie
Správa stavu HTTP, špecifikovaná v RFC 6265, je zámerne jednoduchá: server nastaví názov a hodnotu s rozsahom a prehliadač ich vráti pri požiadavkách, ktoré tomuto rozsahu zodpovedajú. Hodnota môže byť identifikátor relácie, preferencia alebo nepriehľadný token, ktorý server priradí záznamu košíka. Nikde v mechanizme sa neuvádza adresa klienta.
Práve tento dizajn je dôvod, prečo bežné prihlásenia a košíky prežijú zmenu siete, a je to aj dôvod, prečo ju prežijú u sledovacích nástrojov. Ten istý mechanizmus slúži obom účelom a nerozlišuje medzi nimi. V protokole nie je pole pre adresu klienta, takže nový výstup nemá čo zneplatniť. Stránka, ktorá by chcela previazať cookie na sieťový pôvod, by musela túto logiku pridať sama.
Keď stránka vráti cookie, server vyhľadá záznam, na ktorý táto hodnota ukazuje. Zmena trasy, ktorou požiadavka išla, toto hľadanie nemení, a to je celé vysvetlenie pozorovania s nákupným košíkom.
Rozhodnite, čo váš test meria
Predtým, než čokoľvek zmeníte, zapíšte si východiskový stav: ktorý profil prehliadača, ktorý účet, ktoré údaje stránky, ktorú sieťovú cestu. Potom zmeňte presne jednu z nich a pozorujte. Test, ktorý mení výstupnú adresu a profil prehliadača naraz, nedokazuje nič o ani jednom z nich.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartOba príkazy znova používajú ten istý súbor cookies a druhý vynucuje inú lokálnu zdrojovú adresu tam, kde to hostiteľ povoľuje. Odpoveď košíka je v oboch prípadoch rovnaká, pretože server nikdy nevidel inú identitu klienta, iba inú cestu. To je mechanizmus v jednej opakovateľnej dvojici požiadaviek.
Ak je cieľom zistiť, či vás stránka rozpozná bez uloženého stavu, vymažte údaje tejto stránky a zopakujte to. Ak vás stále rozpoznáva, ďalšími podozrivými sú prihlásený účet, odkaz, ktorý ste nasledovali, alebo vlastnosti prehliadača, a nie cookie.
Vymažte správny stav, nie sieť
Odstránenie úložiska jednej stránky patrí medzi vlastné ovládacie prvky prehliadača a často vás ako vedľajší účinok odhlási alebo obnoví predvoľby. Nemaže účet ani záznamy, ktoré služba už má; tie potrebujú vlastný postup služby.
Obmedzenia medzi stránkami riešia inú časť problému. Prehliadače môžu blokovať alebo rozdeľovať úložisko, ktoré by vložené služby inak zdieľali medzi stránkami, kým prihlásenie prvej strany funguje ďalej. Úspešné prihlásenie preto nie je dôkazom, že sledovanie medzi stránkami funguje.
Súkromné okná sú ďalší nástroj s užším rozsahom, než ľudia očakávajú. Stránky môžu počas relácie stále nastavovať cookies a prihlásenie stále identifikuje účet. Práve ukončenie súkromnej relácie zahodí dočasný stav, čo znamená zavrieť každé súkromné okno, a nie jednu kartu.
Nakoniec berte fingerprinting ako možnosť, nie ako prvé vysvetlenie. Vlastnosti zariadenia a prehliadača môžu spájať návštevy bez akéhokoľvek uloženého cookie a vymazanie úložiska sa ich nedotkne. Najprv skontrolujte jednoduché príčiny, potom rozšírte vyšetrovanie a poznamenajte si, ktorý stav ste zmenili, aby ďalšie porovnanie malo zmysel.