抵制跨站点隐私追踪库 supercookie

2021-03-01 23:26:03 +08:00
 lasm
最近 GitHub 出现了一个新的项目,https://github.com/jonasstrehle/supercookie
根据作者的介绍,Supercookie 使用了 favicon 的一个 bug,可以生成一个对于浏览器的唯一 ID 。它不会根据你的网络环境而改变。甚至你开启了隐私模式,刷新缓存,重启操作系统也是无效的。
原理: https://supercookie.me/workwise#content-threat-model
当你的浏览器请求 favicon (即网站小图标)的时候,会尝试从本地的 F-Cache 读取,若本地没有存储则会向服务器请求。在对网站的多次访问中通过对 favicon 请求的解析就可以构建一个唯一的 ID 。因为 F-Cache 中包含了足以实现唯一性的信息。

你可以在 https://demo.supercookie.me 尝试 demo,若你的浏览器几次生成的 ID 一致,则你的浏览器中招了。

影响:这个方法大大威胁了我们的隐私安全,普通用户根本不知道 F-Cache 的管理,一般的缓存清理方法也没有效果。这可能导致互联网对你用户信息的全方位统计和挂钩,任何一个小网站都可以通过这种方式来定位某一个人在该网站或者跨网站的任何资料。这对于公民隐私权是一个极大的威胁。也就是说,我们直接暴露于了老大哥。
然而作者和某些使用者毫无惭愧之意,叫嚣着“SPREAD TO WORLD”和技术无罪论。我在 issue 上面对他们进行了批评,然而却被倒打一耙挂了起来。参见
https://github.com/jonasstrehle/supercookie/issues/10

我认为,这属于妥妥的技术作恶,虽然我们知道大型互联网公司有多种手段通过账号信息大数据分析我们的隐私,但大型互联网公司有政府机构监管,而这种恶意 bug 的滥用将会使我们的隐私权受到极大的侵犯,无论在哪个法制健全的国家这都是不能容忍的。

你们对这种技术作恶的 repo 有什么看法?如何看待这种 repo ?下一步应该怎么处理?

知乎讨论同步: http://www.zhihu.com/question/447111920?utm_source=qq&utm_medium=social
7114 次点击
所在节点    程序员
71 条回复
fucUup
2021-03-02 14:29:06 +08:00
chromium 的同事说这个问题是 P2, 应该会做
S4m
2021-03-02 14:46:35 +08:00
开源的情况下,厂商至少能想办法抵制这类追踪方法。
有这个时间不如去抵制国内那些客户端追踪 SDK 。
Rhilip
2021-03-02 15:22:21 +08:00
emm,你抵制有啥用,掩耳盗铃吗?
xianxiaobo
2021-03-02 15:52:41 +08:00
活该被挂
GreenDam
2021-03-02 16:15:38 +08:00
《情商》
yolee599
2021-03-02 16:36:58 +08:00
Firefox 86.0 好像已经这个问题做了修复。

https://blog.mozilla.org/security/2021/02/23/total-cookie-protection/
imn1
2021-03-02 16:37:13 +08:00
纯粹就是个立场问题,抵制 or 不抵制的表态都不能说错

即使浏览器禁了,还有 APP 可以用上,除非商店有针对地下架相关应用
简单说,站在其中一方立场,期望全行业封杀,防止未有规范时被滥用,这个主张可以有,但很难做到

换个立场,网站追踪用户信息,是否作恶,并不能有罪推定
如果这个技术可以实现免登录保持“唯一”,还是有一定用途的,方便对同一设备的权限管理
例如 GDPR 并不禁止收集,只限定收集的事项遵守“最初之约定”

砒霜也能药用,要规管只能立法
chinvo
2021-03-02 17:03:01 +08:00
Remove my password from lists so hackers won't be able to hack me?
ayase252
2021-03-02 17:10:02 +08:00
😅我看这个 issue 去年 4 月份就在 chromium 开了啊。也该修好了吧
dqzcwxb
2021-03-02 17:11:59 +08:00
与其听信谣言,不如相信**
momocraft
2021-03-02 17:15:58 +08:00
你要是知道有人用 POC 交流安全研究 岂不是要气到爆炸
Zikinn
2021-03-02 17:24:36 +08:00
Chrome Windows 88.0.4324.190
实测隐私模式可以追踪
TomatoYuyuko
2021-03-02 17:31:32 +08:00
类似的技术之前就有吧,比如数字指纹,不过那个碰撞几率比较高
dsg001
2021-03-02 17:38:38 +08:00
ff68,开小号模式、隐私模式获取的 id 都不一样
jim9606
2021-03-02 17:56:30 +08:00
Edge88.0.705.81 没有复现。

我目前见过比较牛的是 fingerprintjs,基于 EFF 的一项研究做的,利用浏览器特性生成的 ID,例如分辨率、插件列表、字体列表等,隐私模式也会中招。不过不清楚这个方案的 ID 唯一性做得怎样,猜测不怎么好。
https://fingerprintjs.github.io/fingerprintjs/

不过也没必要太在乎这个了,哪个大众化的网站不是一打开就要你登录账户才能用?灰产用这个感觉收益不怎么行。
codehz
2021-03-02 18:49:12 +08:00
@no1xsyzy 之前的论文已经通知浏览器厂商修了
不过这里有一件趣事,论文作者故意没通知 Mozilla,因为他们不是有 bug 导致 favicon 没缓存吗,然后作者反过来提一个 bug 报告要求 firefox 修 https://bugzilla.mozilla.org/show_bug.cgi?id=1618257 就为了让论文里可以写在所有浏览器上都能用,被 Mozilla 发现以后一顿批判
这里有几十天前 hn 关于此事的讨论 https://news.ycombinator.com/item?id=26051370
no1xsyzy
2021-03-02 19:04:27 +08:00
@imn1 App 的 F-Cache 是系统层面的吗?
no1xsyzy
2021-03-02 19:10:03 +08:00
发出去了…… 浪费铜币
——
@codehz ……
我劝!论文作者:钓鱼业障重。(🤣
——
在 OP 的 issue 里发了个关于本贴的 Write-up,建议把 OP 放置了
总结为官僚主义我觉得没什么问题吧
imn1
2021-03-02 19:24:03 +08:00
@no1xsyzy #57
我不懂 APP 开发,但我觉得有技术能达到目的,自然能想到办法用上,除非这个技术实现成本比较高
parametrix
2021-03-02 21:05:01 +08:00
Firefox yes. (特别是发现 Firefox 在 Big Sur 上硬件加速播放 vp9 以后 :)

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/757467

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX