الكوكيز والتخزين والتتبع بعد ملفات تعريف الارتباط من الأطراف الثالثة
كانت الكوكيز الطريقة الأصلية للتعرف على متصفح عائد، وكانت كافية عشرين عاماً. والتغييرات التي أجرتها المتصفحات عليها تفسر لماذا عادت البصمة مثيرة للاهتمام.
الطرف الأول والطرف الثالث
كوكي الطرف الأول يضعه الموقع الظاهر في شريط العنوان. وبه تبقى مسجَّل الدخول. وكوكي الطرف الثالث يضعه نطاق آخر ضمّنت الصفحةُ محتواه، كسكربت إعلاني، ويستطيع ذلك النطاق قراءته في كل موقع يضمّنه. هذه الخاصية الثانية هي ما جعل التتبع عبر المواقع تافهاً: معلِن واحد، كوكي واحد، كل المواقع.
ما الذي تغيّر
بدأ Safari بحجب كوكيز الأطراف الثالثة افتراضياً في 2017 عبر Intelligent Tracking Prevention، وشدّد ذلك مراراً. ولحقه Firefox بـ Enhanced Tracking Protection في 2019 ثم Total Cookie Protection، الذي يمنح كل موقع جرّة كوكيز خاصة به فيصير كوكي طرف ثالث على موقع غير مرئي على آخر. وقدّم Chromium الكوكيز المقسَّمة (السمة Partitioned، «CHIPS») ليحتفظ المحتوى المضمَّن بحالة لكل موقع علوي، وقضى سنوات يعلن ويؤجل ثم تراجع أخيراً عن إزالة شاملة لكوكيز الأطراف الثالثة، واستقر على ترك الخيار للمستخدم.
والنتيجة العملية أن التتبع عبر المواقع بالكوكيز غير موثوق في Safari وFirefox ومقسَّم بشكل متزايد في Chromium. وهذا جيد للخصوصية، لكنه دفع المتتبعين نحو الإشارات التي لا تحتاج تخزيناً أصلاً.
تخزين آخر
localStorage وIndexedDB وCache API أطراف أولى بطبيعتها؛ تنتمي إلى الأصل الذي كتبها وهي الآن مقسَّمة بحسب الموقع العلوي في كل المتصفحات الرئيسية، فلا يمكن استخدامها معرّفات عبر المواقع كما كانت كوكيز الأطراف الثالثة القديمة. وحيل التتبع بـ ETag والذاكرة المؤقتة موجودة لكنها هشة ومخففة على نطاق واسع.
لماذا تملأ البصمة الفراغ
البصمة لا تحتاج تخزيناً. تُعاد حسابتها من خصائص المتصفح نفسه في كل زيارة، فمسح الكوكيز لا يعيد ضبطها والتقسيم لا يعزلها. وهذه جاذبيتها للمتتبعين وخطرها على من افترض أن «مسح بيانات الموقع» صفحة بيضاء. والإجراءات المضادة مختلفة أيضاً: لا حجب التخزين، بل تقليل تنوع ما تستطيع الصفحة قراءته، وهذا ما يخدمه تقليص وكيل المستخدم وضجيج canvas وإخفاء المصيِّر.
ما تستطيع أداة التشخيص إظهاره
تستطيع الصفحة أن تبلّغ هل الكوكيز مفعّلة وهل ترويسة Do Not Track مضبوطة (إشارة لا يحترمها تقريباً أي موقع، ولهذا تزيلها المتصفحات لصالح Global Privacy Control). ولا تستطيع قراءة كوكيز موقع آخر، وأداة التشخيص الجديرة بالثقة لا تضع أياً منها. يعمل PowerScan بلا كوكيز ولا تخزين ولا معرّفات، وتستطيع التحقق من ذلك في أدوات مطوّر المتصفح: لوحة التخزين للموقع فارغة بعد الفحص.
ماذا يعني العزل الآن
لمن يُبقي الحسابات منفصلة، الكوكيز هي الجزء السهل: الملفات الشخصية المنفصلة لها جرار كوكيز منفصلة. والجزء الصعب هو البصمة، لأن ملفين شخصيين على الجهاز نفسه بالمتصفح نفسه يتشاركان كل إشارات العتاد والتصيير ما لم يغيّرها المتصفح. وذلك هو موضوع المقالة التالية.
PowerOps
