کیا VPN سرور بدلنے سے آپ دکان سے لاگ آؤٹ ہو جاتے ہیں؟
نیا ایگزٹ پتہ کوکی جار کو خالی نہیں کرتا۔ پہلے طے کریں کہ آپ نیٹ ورک راستہ، سائن اِن سیشن یا محفوظ شدہ سائٹ ڈیٹا جانچ رہے ہیں۔
دکان کسی دوسرے ٹیب میں کھلی ہونے کے دوران VPN ایگزٹ بدلیں، اور باسکٹ عام طور پر وہیں موجود ہوتا ہے۔ یہ VPN کی ناکامی نہیں؛ یہ براؤزر وہی کر رہا ہے جو اسے کہا گیا تھا۔ کوکی براؤزر بھیجتا ہے، اور نیا نیٹ ورک راستہ براؤزر کے محفوظ کرنے کو نہیں بدلتا۔ «سائٹ اب بھی مجھے جانتی ہے» کے پیچھے تین مختلف سوال چھپے ہیں، اور جواب اس پر منحصر ہے کہ آپ دراصل کون سا سوال پوچھ رہے ہیں۔
تین سوال، ایک علامت
پہلا: کیا سائٹ محفوظ شدہ کوکی کو پہچانتی ہے؟ دوسرا: کیا یہ سائن اِن شدہ اکاؤنٹ کو پہچانتی ہے، جو کسی ایک کوکی سے آزادانہ طور پر قائم رہتا ہے؟ تیسرا: کیا یہ محفوظ شدہ حالت کے بجائے براؤزر یا ڈیوائس کے بارے میں کچھ پہچانتی ہے؟ ہر ایک کا اپنا امتحان اور اپنا علاج ہے۔
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
زیادہ تر الجھن پہلے کو بدل کر دوسرے کے آنے کی توقع سے پیدا ہوتی ہے۔ نیٹ ورک پتہ اور براؤزر اسٹور دو الگ نظام ہیں جنہیں اتفاقاً ایک ہی صفحہ استعمال کرتا ہے۔
کوکی دراصل کیا اٹھاتی ہے
RFC 6265 میں متعین HTTP حالت کا انتظام جان بوجھ کر سادہ ہے: سرور دائرہ کار کے ساتھ نام اور قدر مقرر کرتا ہے، اور براؤزر اس دائرہ کار سے مماثل درخواستوں کے لیے اسے واپس بھیجتا ہے۔ قدر سیشن شناخت کنندہ، ترجیح، یا مبہم ٹوکن ہو سکتی ہے جسے سرور باسکٹ ریکارڈ سے جوڑتا ہے۔ طریقہ کار میں کہیں بھی کلائنٹ کے پتے کا ذکر نہیں ہے۔
یہی ڈیزائن عام لاگ اِن اور باسکٹ کے نیٹ ورک تبدیلی سے بچنے کی وجہ ہے، اور یہی وجہ ہے کہ وہ ٹریکرز کے لیے بھی اس سے بچ جاتے ہیں۔ ایک ہی طریقہ کار دونوں مقاصد کے لیے کام کرتا ہے اور ان میں فرق نہیں کرتا۔ پروٹوکول میں کلائنٹ کے پتے کے لیے کوئی فیلڈ نہیں، اس لیے نئے ایگزٹ کے پاس منسوخ کرنے کو کچھ نہیں۔ جو سائٹ کوکی کو نیٹ ورک اصل سے باندھنا چاہے اسے یہ منطق خود شامل کرنی پڑے گی۔
جب سائٹ کوکی واپس دیتی ہے، سرور اس ریکارڈ کو تلاش کرتا ہے جس کی طرف وہ قدر اشارہ کرتی ہے۔ درخواست کے لیے گزرے راستے کو بدلنا اس تلاش کو نہیں بدلتا، اور خریداری باسکٹ کے مشاہدے کی پوری وضاحت یہی ہے۔
طے کریں کہ آپ کا امتحان کیا ماپ رہا ہے
کچھ بھی بدلنے سے پہلے اپنی ابتدائی حالت لکھیں: کون سا براؤزر پروفائل، کون سا اکاؤنٹ، کون سا سائٹ ڈیٹا، کون سا نیٹ ورک راستہ۔ پھر ان میں سے بالکل ایک بدلیں اور مشاہدہ کریں۔ جو امتحان ایگزٹ پتہ اور براؤزر پروفائل ایک ساتھ بدلتا ہے وہ دونوں میں سے کسی کے بارے میں کچھ ثابت نہیں کرتا۔
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartدونوں کمانڈز ایک ہی کوکی فائل دوبارہ استعمال کرتی ہیں، اور دوسری وہاں مختلف مقامی ماخذ پتہ زبردستی استعمال کرتی ہے جہاں میزبان اجازت دیتا ہے۔ دونوں صورتوں میں باسکٹ کا جواب ایک جیسا ہے کیونکہ سرور نے کبھی مختلف کلائنٹ شناخت نہیں دیکھی، صرف مختلف راستہ دیکھا۔ دہرائی جا سکنے والی درخواستوں کی ایک جوڑی میں یہی طریقہ کار ہے۔
اگر مقصد یہ دیکھنا ہے کہ سائٹ آپ کو محفوظ شدہ حالت کے بغیر پہچانتی ہے یا نہیں، تو اس سائٹ کا ڈیٹا صاف کریں اور دہرائیں۔ اگر وہ پھر بھی پہچانتی ہے، تو اگلے مشتبہ کوکی نہیں بلکہ سائن اِن شدہ اکاؤنٹ، آپ کا اختیار کردہ لنک، یا براؤزر کی خصوصیات ہیں۔
نیٹ ورک نہیں، درست حالت صاف کریں
ایک سائٹ کا اسٹوریج ہٹانا براؤزر کے اپنے کنٹرولز میں آتا ہے، اور یہ اکثر ضمنی اثر کے طور پر آپ کو لاگ آؤٹ کرتا ہے یا ترجیحات ری سیٹ کرتا ہے۔ یہ اکاؤنٹ یا وہ ریکارڈ نہیں مٹاتا جو سروس پہلے سے رکھتی ہے؛ ان کے لیے سروس کا اپنا عمل درکار ہے۔
سائٹس کے درمیان پابندیاں مسئلے کے دوسرے حصے کو حل کرتی ہیں۔ براؤزر وہ اسٹوریج روک یا تقسیم کر سکتے ہیں جو ایمبیڈ شدہ سروسز بصورت دیگر سائٹس کے درمیان شیئر کرتیں، جبکہ فرسٹ پارٹی لاگ اِن کام کرتا رہتا ہے۔ اس لیے کامیاب لاگ اِن اس بات کا ثبوت نہیں کہ سائٹس کے درمیان ٹریکنگ کام کر رہی ہے۔
پرائیویٹ ونڈوز ایک اور ایسا آلہ ہیں جس کا دائرہ لوگوں کی توقع سے تنگ ہے۔ سائٹس سیشن کے دوران اب بھی کوکیز مقرر کر سکتی ہیں، اور لاگ اِن اب بھی اکاؤنٹ کی شناخت کرتا ہے۔ عارضی حالت کو رد کرنے والی چیز پرائیویٹ سیشن کا خاتمہ ہے، جس کا مطلب ایک ٹیب نہیں بلکہ ہر پرائیویٹ ونڈو بند کرنا ہے۔
آخر میں، فنگر پرنٹنگ کو پہلی وضاحت نہیں بلکہ ایک امکان سمجھیں۔ ڈیوائس اور براؤزر کی خصوصیات بغیر کسی محفوظ کوکی کے دوروں کو جوڑ سکتی ہیں، اور اسٹوریج صاف کرنا انہیں نہیں چھوئے گا۔ پہلے سادہ وجوہات جانچیں، پھر تحقیق کو وسیع کریں، اور نوٹ رکھیں کہ آپ نے کون سی حالت بدلی تاکہ اگلا موازنہ بامعنی ہو۔