Cookie, lưu trữ và theo dõi sau thời cookie bên thứ ba
Cookie từng là cách ban đầu để nhận ra một trình duyệt quay lại, và suốt hai mươi năm thế là đủ. Những thay đổi mà trình duyệt đã thực hiện với chúng giải thích vì sao vân tay trình duyệt lại trở nên thú vị trở lại.
Bên thứ nhất và bên thứ ba
Cookie bên thứ nhất được đặt bởi trang web trên thanh địa chỉ. Đó là cách bạn giữ trạng thái đăng nhập. Cookie bên thứ ba được đặt bởi một tên miền khác có nội dung được trang nhúng vào, chẳng hạn một script quảng cáo, và tên miền đó đọc được nó trên mọi trang web nhúng nó. Thuộc tính thứ hai đó là điều khiến việc theo dõi xuyên trang trở nên dễ dàng: một nhà quảng cáo, một cookie, mọi trang web.
Điều gì đã thay đổi
Safari bắt đầu chặn cookie bên thứ ba theo mặc định từ năm 2017 qua Intelligent Tracking Prevention và siết chặt nhiều lần sau đó. Firefox theo sau với Enhanced Tracking Protection năm 2019 rồi Total Cookie Protection, cấp cho mỗi trang web một lọ cookie riêng để cookie của bên thứ ba trên một trang không thể thấy được trên trang khác. Chromium giới thiệu cookie được phân vùng (thuộc tính Partitioned, "CHIPS") để nội dung nhúng có thể giữ trạng thái theo từng trang web cấp cao nhất, và đã mất nhiều năm công bố, trì hoãn rồi cuối cùng lùi bước khỏi việc loại bỏ hoàn toàn cookie bên thứ ba, chọn phương án để người dùng quyết định.
Kết quả thực tế là việc theo dõi xuyên trang bằng cookie không đáng tin cậy trên Safari và Firefox và ngày càng bị phân vùng trên Chromium. Điều đó tốt cho quyền riêng tư và đã đẩy các công cụ theo dõi sang những tín hiệu không cần lưu trữ.
Các kho lưu trữ khác
localStorage, IndexedDB và Cache API vốn thuộc bên thứ nhất; chúng thuộc về origin đã ghi chúng và nay được phân vùng theo trang web cấp cao nhất trên mọi trình duyệt lớn, nên không thể dùng làm định danh xuyên trang như cookie bên thứ ba ngày trước. Các mánh theo dõi qua ETag và bộ nhớ đệm vẫn tồn tại nhưng mong manh và đã bị giảm thiểu rộng rãi.
Vì sao vân tay trình duyệt lấp chỗ trống
Vân tay không cần lưu trữ. Nó được tính lại từ các thuộc tính của chính trình duyệt ở mỗi lần truy cập, nên xóa cookie không đặt lại nó và phân vùng không cách ly nó. Đó là sức hấp dẫn của nó với công cụ theo dõi và là mối nguy với bất kỳ ai tưởng rằng "xóa dữ liệu trang" là một tờ giấy trắng. Các biện pháp đối phó cũng khác: không phải chặn lưu trữ, mà là giảm độ đa dạng của những gì một trang có thể đọc, đó là mục đích của việc rút gọn user agent, thêm nhiễu cho canvas và che bộ kết xuất.
Một trang chẩn đoán có thể hiển thị gì
Một trang có thể báo cáo cookie có được bật không và header Do Not Track có được đặt không (một tín hiệu hầu như không trang nào tôn trọng, đó là lý do các trình duyệt đang loại bỏ nó để chuyển sang Global Privacy Control). Nó không thể đọc cookie của trang khác, và một trang chẩn đoán đáng tin không đặt cookie nào của riêng nó. PowerScan chạy không cookie, không lưu trữ và không định danh, điều bạn có thể tự kiểm chứng trong công cụ dành cho nhà phát triển của trình duyệt: bảng lưu trữ của trang này trống sau khi quét.
Cách ly nghĩa là gì bây giờ
Với bất kỳ ai giữ các tài khoản tách biệt, cookie là phần dễ: các hồ sơ riêng có lọ cookie riêng. Phần khó là vân tay, vì hai hồ sơ trên cùng một máy với cùng một trình duyệt chia sẻ mọi tín hiệu phần cứng và kết xuất trừ khi trình duyệt thay đổi chúng. Đó là chủ đề của bài viết tiếp theo.
PowerOps
