थर्ड-पार्टी कुकी के बाद कुकी, स्टोरेज और ट्रैकिंग
लौटते ब्राउज़र को पहचानने का मूल तरीक़ा कुकी थीं, और बीस साल तक वे काफ़ी रहीं। ब्राउज़रों ने उनमें जो बदलाव किए हैं वे समझाते हैं कि फ़िंगरप्रिंटिंग दोबारा दिलचस्प क्यों हो गई।
फ़र्स्ट-पार्टी और थर्ड-पार्टी
फ़र्स्ट-पार्टी कुकी उस साइट की सेट की हुई होती है जो एड्रेस बार में है। इसी से आप लॉग इन रहते हैं। थर्ड-पार्टी कुकी किसी दूसरे डोमेन की सेट की होती है जिसका कंटेंट पेज ने एम्बेड किया है, जैसे विज्ञापन स्क्रिप्ट, और उसे वह डोमेन हर उस साइट पर पढ़ सकता है जो उसे एम्बेड करती है। यह दूसरा गुण ही क्रॉस-साइट ट्रैकिंग को मामूली बनाता था: एक विज्ञापनदाता, एक कुकी, हर साइट।
क्या बदला
Safari ने 2017 में Intelligent Tracking Prevention के ज़रिये थर्ड-पार्टी कुकी को डिफ़ॉल्ट रूप से ब्लॉक करना शुरू किया और उसे बार-बार कड़ा किया। Firefox ने 2019 में Enhanced Tracking Protection के साथ उसका अनुसरण किया और फिर Total Cookie Protection लाया, जो हर साइट को उसका अपना कुकी जार देता है ताकि एक साइट पर थर्ड-पार्टी की कुकी दूसरी पर अदृश्य रहे। Chromium ने पार्टिशंड कुकी (Partitioned एट्रिब्यूट, “CHIPS”) शुरू कीं ताकि एम्बेड किया कंटेंट टॉप-लेवल साइट के हिसाब से स्थिति रख सके, और कई साल थर्ड-पार्टी कुकी को पूरी तरह हटाने की घोषणा करने, उसे टालने और अंत में पीछे हटने में बिताए, और उपयोगकर्ता की पसंद पर टिक गया।
व्यावहारिक नतीजा यह है कि कुकी से क्रॉस-साइट ट्रैकिंग Safari और Firefox में भरोसेमंद नहीं रही और Chromium में बढ़ते हुए पार्टिशंड है। यह प्राइवेसी के लिए अच्छा है और इसने ट्रैकरों को उन संकेतों की ओर धकेल दिया जिन्हें स्टोरेज की ज़रूरत ही नहीं।
दूसरा स्टोरेज
localStorage, IndexedDB और Cache API स्वभाव से फ़र्स्ट-पार्टी हैं; वे उस ओरिजिन के हैं जिसने उन्हें लिखा, और अब हर प्रमुख ब्राउज़र में टॉप-लेवल साइट से पार्टिशंड हैं, इसलिए उन्हें पुरानी थर्ड-पार्टी कुकी की तरह क्रॉस-साइट आइडेंटिफ़ायर के रूप में इस्तेमाल नहीं किया जा सकता। ETag और कैश-आधारित ट्रैकिंग की तरकीबें मौजूद हैं पर कमज़ोर हैं और व्यापक रूप से रोकी जा चुकी हैं।
फ़िंगरप्रिंटिंग ख़ाली जगह क्यों भरती है
फ़िंगरप्रिंट को स्टोरेज नहीं चाहिए। वह हर विज़िट पर ब्राउज़र के अपने गुणों से दोबारा निकाला जाता है, इसलिए कुकी साफ़ करने से वह रीसेट नहीं होता और पार्टिशनिंग उसे अलग नहीं करती। यही ट्रैकरों के लिए उसका आकर्षण है और हर उस व्यक्ति के लिए ख़तरा जिसने मान लिया था कि “साइट डेटा साफ़ करें” साफ़ स्लेट है। जवाबी उपाय भी अलग हैं: स्टोरेज ब्लॉक करना नहीं, बल्कि पेज जो पढ़ सकता है उसकी विविधता घटाना, जिसके लिए यूज़र एजेंट रिडक्शन, canvas नॉइज़ और रेंडरर मास्किंग हैं।
डायग्नोस्टिक क्या दिखा सकता है
पेज बता सकता है कि कुकी चालू हैं या नहीं और Do Not Track हेडर सेट है या नहीं (एक संकेत जिसे लगभग कोई साइट नहीं मानती, इसीलिए ब्राउज़र उसे हटाकर Global Privacy Control ला रहे हैं)। वह किसी दूसरी साइट की कुकी नहीं पढ़ सकता, और भरोसेमंद डायग्नोस्टिक अपनी कोई कुकी सेट नहीं करता। PowerScan बिना कुकी, बिना स्टोरेज और बिना आइडेंटिफ़ायर के चलता है, जिसे आप ब्राउज़र के डेवलपर टूल में जाँच सकते हैं: स्कैन के बाद साइट का स्टोरेज पैनल ख़ाली होता है।
अब आइसोलेशन का मतलब क्या है
अकाउंट अलग रखने वाले किसी भी व्यक्ति के लिए कुकी आसान हिस्सा हैं: अलग प्रोफ़ाइल के कुकी जार अलग होते हैं। कठिन हिस्सा फ़िंगरप्रिंट है, क्योंकि एक ही मशीन पर एक ही ब्राउज़र वाले दो प्रोफ़ाइल हर हार्डवेयर और रेंडरिंग संकेत साझा करते हैं, जब तक ब्राउज़र उन्हें न बदले। अगला लेख इसी का विषय है।
PowerOps
