الملفات الشخصية للمتصفح والعزل: ماذا يعني فصل الحسابات فعلاً
«العزل» هي الكلمة التي يستخدمها الجميع لإبقاء هويات المتصفح منفصلة، وهي تشمل عدة أشياء مختلفة. تفصل هذه المقالة بينها، لأن السهل منها ليس هو المهم.
عزل التخزين
لكل ملف شخصي في المتصفح كوكيزه وتخزينه المحلي وذاكرته المؤقتة وسجله وكلمات مروره المحفوظة وإضافاته. لا يرى ملفان شخصيان كوكيز بعضهما، فلا يستطيع موقع ربطهما عبر التخزين. كل متصفح رئيسي يدعم ملفات شخصية متعددة، وهذا المستوى من العزل محلول. لو كان هذا كل ما يراه موقع، لكان إبقاء الحسابات منفصلة مسألة نقرة على «ملف شخصي جديد».
عزل الشبكة
ملفان شخصيان يستخدمان العنوان نفسه يصلان من المكان نفسه. موقع يرى حسابين من عنوان سكني واحد في الوقت نفسه قد تعلّم شيئاً، وإن طابقت المنطقة الزمنية واللغة أيضاً فقد تعلّم أكثر. عزل الشبكة يعني أن لكل ملف شخصي مساره الخاص، عادةً بروكسي، وأن المسار يحمل كل شيء: HTTP وWebRTC وDNS حيثما أمكن. ملف شخصي لا يغطي بروكسيه إلا HTTP معزول على الورق ومتصل في الواقع.
عزل البصمة
هذا هو الصعب. ملفان شخصيان على الجهاز نفسه بإصدار المتصفح نفسه ينتجان تجزئة canvas نفسها، وتجزئة الصوت نفسها، وسلسلة المصيِّر نفسها، وعدد المسارات نفسه، وهندسة الشاشة نفسها، وقائمة الخطوط نفسها. من وجهة نظر الموقع هما جهاز واحد بجرّتَي كوكيز. وجعلهما يبدوان جهازين يعني أن على المتصفح أن يبلّغ بقيم مختلفة لهذه الخصائص، باتساق، لكل ملف شخصي.
الاتساق هو حيث يفشل هذا عادةً. يجب أن تصف القيم جهازاً موجوداً: نظام تشغيل، ومعالج رسوميات يأتي معه، وحجم شاشة ونسبة بكسلات يتناسبان، ووكيل مستخدم وClient Hints وnavigator.platform متفقة، وخطوطاً تنتمي إلى نظام التشغيل ذاك. ويجب أن تبقى كما هي عبر الزيارات، لأن بصمة تتغير كل يوم إشارة بحد ذاتها. ويجب أن تصمد أمام المقارنات التي تجريها المواقع بين المصادر: وكيل المستخدم مقابل المصيِّر، والمنطقة الزمنية مقابل العنوان، ومرشح WebRTC مقابل الطلب.
ما الذي يخطئ فيه «الإخفاء»
حجب كل شيء ليس عزلاً؛ إنه بصمة مختلفة. متصفح يعيد «غير متاح» لـ canvas والصوت وWebGL وWebRTC يبدو كأداة خصوصية، وهي مجموعة صغيرة يسهل تمييزها. الهدف لملف شخصي يعمل هو العكس: أن يبدو جهازاً عادياً مملاً واحداً، مقروءاً بالكامل، وإشاراته كلها متفقة. شرط النجاح ليس أن لا تُظهر أداة التشخيص شيئاً، بل أن تُظهر جهازاً معقولاً بلا أي تعارض.
كيف تفحص ملفاً شخصياً
افتح أداة تشخيص داخل الملف الشخصي واقرأها كما يقرؤها موقع. هل يطابق المصيِّر نظام التشغيل؟ هل تطابق المنطقة الزمنية العنوان؟ هل يكشف WebRTC عنوان البروكسي فقط، أم لا شيء؟ أعد التحميل: هل تبقى التجزئات ثابتة؟ ثم افتح ملفاً شخصياً ثانياً وتأكد أن قيمه تختلف عن الأول. صفحة مثل PowerScan تعرض هذه القيم جنباً إلى جنب، وتشير إلى المقارنات المختلفة، ولا تخزّن شيئاً، فيكون الفحص قابلاً للتكرار ولا يترك أثراً.
ملاحظة عما لا يدّعيه هذا الموقع
لا يمنح PowerScan درجة للأصالة، ولا يكتشف البروكسيات، ولا يقرر هل المتصفح روبوت. هذه الأحكام تحتاج بيانات لا يملكها سكربت صفحة، وعرض رقم لها تخمين. ما يفعله هو قراءة الإشارات نفسها التي يقرؤها موقع، والإشارة إلى مواضع تعارضها. وذلك هو الجزء الذي تستطيع أن تتصرف بناءً عليه.
PowerOps
