Weby si o vás vedou záznamy. Zakázat cookies už proti tomu nemusí stačit

Já vám něco prozradím. Vás jde ideintifikovat velice snadno.Kolik si myslíte, že má lidí nastaven příznak, že si nepřejete sledování? Jedno promile? Když k tomu dám vaši IP adresu, váš prohlížeč a systém, a informaci, že od vás dostanu příznak zákazu sledování do HTTP requestu - pak mám vaši jednoznačnou identifikaci. Šance, že se spletu je na hranici statistické chyby. Jste jedinečně vystopovatelná.

Podle typu prohlížeče a systému, rozhodně ale nelze určit konkrétní počítač/uživatele, tak jako podle cookies, a ip adresa je obvykle dynamická. Takže automatické mazání cookies spolu s blokací nežádoucích javaskriptů je docela dobrý způsob, jak webu zabránit jednoznačné identifikaci.

Budete se divit, ale lze. Říká se tomu Browser Fingerprinting. Algoritmus na základě spoustu faktorů a provádění různých výpočtů, které probíhají na každém stroji s jiným výsledkem získá unikátní identifikátor. Pak ještě existuje Canvas Fingerprinting, Panopticlick Browser Fingerprinting,.. feel free to google.Vypnutí javascriptu a samozřejmě dalších pluginů (Flash, Java, WebGL) by možná pomohlo, ale vzhledem k tomu, že už se většiná webů píše v JS, tak máme spíš smůlu.\Edit
"už se většina webů píše v JS"...to jsem samozřejmě přehnal. Nicméně u těch důležitějších webů jsem si tedy opravdu bez JS ani neprdnul.

Názor byl 1× upraven, naposled 05. 01. 2019 11:10

Fingerprint můžete webům podvrhovat falešný a javascripty samozřejmě blokovat selektivně. Ve videoukázce je vidět kolik analytického balastu je natahováno z externích domén.

A domény typu facebook, googleanalitics blokovat přímo v souboru hosts.
Tady je odkaz na docela kvalitní blocklist.
https://github.com/StevenBlack/hosts
Nebo je možné rovnou použít třeba Pi-hole.

Vzhledem k tomu, že vývoj HTML5 a prohlížečů Firefox/Chrome/Safari/atd. postupuje tak, že snad každý měsíc přidá kopu věcí, co na vás práskají, a kopu věcí, kterým více a více umožňuje ovládat počítač uživatele - tak je to prohraný boj.Zatím obecně ani odborníky na web, ani laiky nezajímala bezpečnost při práci na webu. Současné webové browsery nemají daleko do programu, který dříve odborníci na viry nazývali trojským koněm. A komu to trhá žíly? Koho to znepokojuje?Uživatelé chtějí mít komfortnější a komfortnější weby, tak dostávají nebzpečnější a užvaněnější web browsery. Jinak řečeno, vaše podvrhávání falešných informací je směšné, když bude tvůrce webu chtít, tak vás stejně identifikuje statistickými metodami velice přesně. Pokud to chcete změnit, naprogramujte si vlastní web browser - to je jediná šance. Současný stav Firefoxu/Chrome/atd. je takový, že v tom gigantickém množství informací, co o vás browser řekne těch pár podvržených informací už nikoho moc nezmýlí.

Použít jakýsi "vlastní" browser by byla naopak největší pitomost, protože svou unikátností by anonymitu právě snížil. Úspěšnost statistických metod pro identifikaci konkrétního uživatele se dynamickou změnou fingerprintu prohlížeče celkem výrazně snižuje.

Tady si můžete snadno oveřit kolik toho na vás browser vyžvaní, je toho celkem dost.
https://ipleak.net/
https://browserleaks.com/
http://www.alanwood.net/demos/browserinfo.html
https://panopticlick.eff.org/
http://webkay.robinlinus.com/
https://aruljohn.com/details.php

"Kolik si myslíte, že má lidí nastaven příznak, že si nepřejete sledování?"
Tak zrovna tohle, je absolutně zbytečný požadavek, jelikož to stejně obvykle ignorují.

Ty firmy, které o vás sbírají data, tak příznak neignorují. Je to další informace do rozpoznání uživatele. Prostě do vektoru informací, kterými vás statisticky rozpoznají máte další 1 bit informace: Uživatel si nastavil příznak.Nastavením příznaku, že nechcete být sledováni v současnosti prudce zvyšujete vaše sledování. Má ho nastavených jen málo lidí, a tak je to - spolu s dalším - poměrně dost unikátní signál k identifikaci uživatele.

Reklamní systém: Podle našich záznamů jste si nedávno koupil pračku. Nechcete koupit ještě pět dalších praček za zvýhodněnou cenu?

to ma štve asi najviac, okrem hlúpeho potvrdzovania. "Inteligencia" reklamy - keď už som kúpil, tak ma tá reklama nezaujíma.

Jen dodatek, reklamy čím dál více používají UTM parametry ve webové adrese. To jsou ty různé ocásky typu:?utm_content=buffercf3b2&utm_medium=social&utm_source=facebook.com&utm_campaign=bufferNebo když kliknete na odkaz na facebooku, tak on k domu přidá cosi jako ?fbclick=A tak sledují odkud se kliká. Minimálně byste měli důsledně tyto prasárny z odkazů mazat, pokud je někam dáváte. Málokdo to dělá.

to ze si si v tesku kupil pracku nemaju ako vediet. zmeni sa to az zacnes hladat nieco ine

ale cookies niesu len na sledovanie ;) niektoré funkcie vyžadujú uloženie niejakej hodnoty aby správne fungovali

Cookies slouží k ukládání stavových informací. Uložení jaké stavové informace je nezbytně nutné pro zobrazení komentářů?

Kolem cookies se dělají zbytečné hysterie. Cookies je potřeba pro všechny personifikované operace.Je zvláštní, že nikomu nevadí, že jeho web browser na uživatele napráská stovky různých informací - a komu to trhá žíly, že? Ausgerechnet vadí zrovna ty cookies, protože se kolem nich udělala před časem hysterie - přitom jsou z nich nejméně škodlivé a nejvíce užitečné a potřebné pro uživatele.Když budu chtít, tak vás budu šmírovat i s vámi vypnutými cookies. Použiji k tomu ty stovky informací, které mi o vás práská web browser, ale nic o nich netušíte. To vás ale nebolí a nepálí, protože o tom nic nevíte, že takové informace existují.Odkud myslíte, že zive.cz zjišťuje, jaký máte operační systém, a jaký máte browser? To je zlomeček z toho, co na vás browser napráská.Znovu říkám, identifikovat uživatele jde i bez cookies. Je to ale rovnák na ohejbák, protože cookies jsou k personifikaci přímo určeny. Když se kolem nich dělá hysterie, tak se holt nemusí používat, a konkrétního uživatele lze v krajním případě odvodit z toho dalšího - jinak řečeno, zakázáním cookies si ničemu nepomůžete.

Ale tihle lidi jako Novák prostě nechápou. Jako já nechápu proč se někomu líbí zpráva o rozpočtu vlády z minulého roku.

Nedávno, mě Google nechtěl pustit do gmailu, protože jsem měl v prohlížeči Vivaldi, zakázané cookies třetích stran. Holt, zakázání cookies, může dělat problémy...

Což je naprosto očekávatelné a v pořádku. Cookies mimo jiné slouží k uložení informací o přihlášeném uživateli. Jak by to asi měli dělat jinak?

Přes parametr requestu (sessionid).

to primarne nepouziva skoro nikdo, mozna kdyz to nejde pres cookies. Pak se dala jednoduse ukrast session, pokud se nepouzil nejaky dalsi zpusob obrany

Je to ekvivalentní. Cookies bez další ochrany šla ukrást úplně stejně.

No url se sessionId zvládne zkopírovat a poslat i normální uživatel, cookies ani neví, co je.

Milý siky, a jestlipak víte, proč se parametr requestu (sessionid) nepoužívá? Protože lze ho jako odkaz ukrást a zneužít. Například vy se otočíte pro čaj, já si zapamatuji/zapíši session, půjdu na vedlejší počítač, a v tu ránu mě považuje za sikyho. Pokud by to takto používala třeba banka, v tu chvíli máte vyluxované konto.Lze to sice trochu omezit kontrolu IP, UserAgentStringu a dalšího, ale nejsou to obrany absolutní.Ten co vám dal plus by si měl nafackovat. Takhle snadné to dělat hackerům!Až budete někdo další navrhovat náhradu cookies, tak myslete nejenom na vaši nenávist ke cookies, ale také na bezpečnost toho řešení.

To je pravda, lepší je použít hlavičku v HTTP requestu.

Zaprvé netuším, kde jste vzal informaci, že "nenávidím cookies". Mohu vás upozornit, že je tomu naopak.Za druhé - na proxy serverech se cookie kešují a některé cookies vůbec nepodporují (ověřeno praxí z telca). Předat session v parametru je někdy jediný způsob, jak předat informace o identitě v kombinaci s dalším security prvkem. Ano, nepoužívá se to, ale váš dotaz zněl - jak jinak to udělat bez cookies.

Jak, pěkně prosím, bude ten proxy server něco ukládat při spojení přes SSL/TLS, tedy u adresy začínající HTTPS?

Předtím to šlo, takže jak je vidět, jde to i jinak.