Cookie, penyimpanan, dan pelacakan setelah era cookie pihak ketiga
Cookie adalah cara asli untuk mengenali browser yang kembali, dan selama dua puluh tahun itu sudah cukup. Perubahan yang dibuat browser pada cookie menjelaskan mengapa fingerprinting kembali menjadi menarik.
Pihak pertama dan pihak ketiga
Cookie pihak pertama diatur oleh situs yang ada di bilah alamat. Itulah cara Anda tetap masuk. Cookie pihak ketiga diatur oleh domain lain yang kontennya disematkan halaman, seperti skrip iklan, dan dapat dibaca oleh domain itu di setiap situs yang menyematkannya. Sifat kedua inilah yang membuat pelacakan lintas situs menjadi sepele: satu pengiklan, satu cookie, setiap situs.
Apa yang berubah
Safari mulai memblokir cookie pihak ketiga secara bawaan pada 2017 melalui Intelligent Tracking Prevention dan terus memperketatnya. Firefox menyusul dengan Enhanced Tracking Protection pada 2019 dan kemudian Total Cookie Protection, yang memberi setiap situs toples cookie sendiri sehingga cookie pihak ketiga di satu situs tidak terlihat di situs lain. Chromium memperkenalkan cookie terpartisi (atribut Partitioned, "CHIPS") agar konten tersemat dapat menyimpan state per situs tingkat atas, dan menghabiskan beberapa tahun mengumumkan, menunda, lalu akhirnya mundur dari penghapusan menyeluruh cookie pihak ketiga, dan memilih pilihan pengguna sebagai gantinya.
Hasil praktisnya, pelacakan lintas situs lewat cookie tidak andal di Safari dan Firefox serta kian terpartisi di Chromium. Itu baik untuk privasi dan mendorong para pelacak ke sinyal yang sama sekali tidak memerlukan penyimpanan.
Penyimpanan lainnya
localStorage, IndexedDB, dan Cache API pada dasarnya bersifat pihak pertama; semuanya milik origin yang menuliskannya dan kini dipartisi menurut situs tingkat atas di setiap browser besar, sehingga tidak dapat dipakai sebagai pengenal lintas situs seperti cookie pihak ketiga dahulu. Trik pelacakan berbasis ETag dan cache memang ada, tetapi rapuh dan banyak dimitigasi.
Mengapa fingerprinting mengisi celah itu
Fingerprint tidak memerlukan penyimpanan. Ia dihitung ulang dari properti browser itu sendiri pada setiap kunjungan, sehingga menghapus cookie tidak mengatur ulangnya dan partisi tidak mengisolasinya. Itulah daya tariknya bagi pelacak dan bahayanya bagi siapa pun yang mengira "hapus data situs" adalah lembaran bersih. Tindakan penangkalnya pun berbeda: bukan memblokir penyimpanan, melainkan mengurangi keberagaman apa yang bisa dibaca halaman, itulah gunanya pengurangan user agent, noise canvas, dan penyamaran renderer.
Apa yang bisa ditunjukkan diagnostik
Halaman dapat melaporkan apakah cookie diaktifkan dan apakah header Do Not Track diatur (sinyal yang hampir tidak dihormati situs mana pun, itulah sebabnya browser menghapusnya demi Global Privacy Control). Halaman tidak dapat membaca cookie situs lain, dan diagnostik yang tepercaya tidak mengatur satu pun miliknya sendiri. PowerScan berjalan tanpa cookie, tanpa penyimpanan, dan tanpa pengenal, yang bisa Anda verifikasi di alat pengembang browser: panel penyimpanan untuk situs ini kosong setelah pemindaian.
Apa arti isolasi sekarang
Bagi siapa pun yang menjaga akun tetap terpisah, cookie adalah bagian yang mudah: profil yang terpisah punya toples cookie yang terpisah. Bagian yang sulit adalah fingerprint, karena dua profil di mesin yang sama dengan browser yang sama berbagi setiap sinyal perangkat keras dan rendering kecuali browser mengubahnya. Itulah pokok bahasan artikel berikutnya.
PowerOps
