Wenn Sie einen neugierigen Nachbarn haben, erfährt dieser möglicherweise Ihr Geheimrezept. Das größte Datenschutzproblem betrifft Cookies, aber das hat sich dank des Internets geändert. Obwohl normale Browser-Cookies oft nützlich und leicht zu entfernen sind, gibt es auch andere Varianten, die darauf ausgelegt sind, dauerhaft zu bleiben. Zwei dieser Arten, Supercookies und Zombie-Cookies (oft als „Evercookies“ bekannt), können sehr schwer zu entfernen sein. Glücklicherweise ist es nicht unbemerkt geblieben und Browser entwickeln sich weiter, um diese aufdringlichen Tracking-Technologien zu bekämpfen.
Schnelle Links
Superkekse
Dieser Begriff kann etwas verwirrend sein, da er zur Beschreibung vieler verschiedener Technologien verwendet wird, von denen einige eigentlich nur Cookies sind. Im Allgemeinen bezieht es sich jedoch auf alles, was Ihr Browserprofil ändert, um Ihnen eine eindeutige Kennung zu geben. Auf diese Weise erfüllen sie die gleiche Funktion wie Cookies und ermöglichen es Websites und Werbetreibenden, Sie zu verfolgen. Im Gegensatz zu Cookies können sie jedoch nicht wirklich gelöscht werden.
Sie werden häufig den Begriff „Supercookie“ in Bezug auf Unique Identifier Header (UIDH) und als Persistenz in HTTP Strict Transport Security (HSTS) hören, obwohl sich der ursprüngliche Begriff auf Cookies bezieht die von Top-Level-Domains stammen. Dies bedeutet, dass ein Cookie für eine Domain wie „.com“ oder „.co.uk“ gesetzt werden kann, sodass jede Website mit dem Suffix es sehen kann.
Wenn Google.com ein Supercookie setzt, ist dieses Cookie für jede andere „.com“-Website sichtbar. Dies ist ein offensichtliches Datenschutzproblem, aber da es sich nicht um herkömmliche Cookies handelt, werden sie von allen modernen Browsern standardmäßig eingeschränkt. Da niemand mehr viel über diese Art von Supercookie spricht, hört man im Allgemeinen mehr über die anderen beiden.
Eindeutige Identifikationsadresse (UIDH)
Die eindeutige Identifikationsadresse existiert überhaupt nicht auf Ihrem Computer – sie findet zwischen Ihrem ISP und den Servern der Website statt. Hier ist wie:
Sie senden eine Anfrage für eine Website an Ihren Internetdienstanbieter.
Bevor Ihr ISP die Anfrage an den Server weiterleitet, fügt er dem Header Ihrer Anfrage eine eindeutige ID-Zeichenfolge hinzu.
Mithilfe dieser Zeichenfolge können Websites Sie bei Ihrem Besuch als einzelnen Benutzer erkennen, auch wenn Sie deren Cookies gelöscht haben. Sobald sie wissen, wer Sie sind, können sie einfach dieselben Cookies wieder in Ihren Browser einfügen.
In einfachen Worten, wenn Ihr ISP verwendet das UIDH-Tracking-Tool. Es sendet Ihre persönliche Signatur an jede Website, die Sie besuchen (oder an die Person, die Ihren ISP dafür bezahlt hat).. Diese Maßnahme ist vor allem zur Verbesserung der Werbeeinnahmen nützlich, aber für die FCC durchaus sinnvoll, sie durchzusetzen 1.35 Millionen US-Dollar bei Verizon Denn es hat seine Kunden nicht darüber informiert oder ihnen eine Opt-out-Möglichkeit eingeräumt.
Abgesehen von Verizon gibt es nicht viele Daten darüber, welche Unternehmen UIDH-Informationen nutzen, aber die Reaktion der Verbraucher hat dazu geführt, dass diese Strategie weitgehend unpopulär ist. Besser noch, es funktioniert nur über unverschlüsselte HTTP-Verbindungen, und da die meisten Websites standardmäßig HTTPS verwenden und Sie problemlos Erweiterungen wie HTTPS Everywhere herunterladen können, ist dieser Supercookie eigentlich keine große Sache und wird wahrscheinlich nicht häufig verwendet. Wenn Sie zusätzlichen Schutz wünschen, verwenden Sie ein VPN. Dadurch wird sichergestellt, dass Ihre Anfrage an die Website weitergeleitet wird, ohne dass Ihre UIDH angehängt ist.
HTTPS Strict Transfer Security (HSTS)
Hierbei handelt es sich um eine seltene Art von Supercookie, die auf keiner bestimmten Website speziell identifiziert wurde, aber offenbar ausgenutzt wurde, weil Apple Safari dagegen vorging. Verweist auf bestätigte Angriffsfälle.
HSTS ist eigentlich eine gute Sache. Dadurch kann der Browser sicher zur HTTPS-Version der Website umleiten, anstatt zur unsicheren HTTP-Version. Leider lässt sich daraus auch ein Super-Cookie nach folgendem Rezept zaubern:
Erstellen Sie viele Subdomains (z. B. „domain.com“, „subdomain2.domain.com“ usw.).
Weisen Sie jedem Besucher Ihrer Homepage eine Zufallszahl zu.
Erzwingen Sie, dass Benutzer alle Ihre Subdomains laden, indem Sie sie entweder in unsichtbaren Pixeln auf einer Seite hinzufügen oder den Benutzer beim Laden der Seite durch jede Subdomain umleiten.
Weisen Sie bei einigen Subdomains den Browser des Benutzers an, HSTS zu verwenden, um für einige zur sicheren Version zu wechseln. Für andere belassen Sie die Domäne als unsicheres HTTP.
Wenn eine HSTS-Richtlinie für eine Subdomain aktiviert ist, wird sie als „1“ betrachtet. Wenn es ausgeschaltet ist, wird es als „0“ betrachtet. Mit dieser Strategie kann die Site die zufällige Benutzeridentifikationsnummer in binärer Form in die HSTS-Einstellungen des Browsers schreiben.
Jedes Mal, wenn ein Besucher zurückkehrt, überprüft die Site die HSTS-Richtlinien des Browsers des Benutzers. Dadurch wird dieselbe Binärzahl zurückgegeben, die ursprünglich generiert wurde, um den Benutzer zu identifizieren.
Es hört sich kompliziert an, aber im Grunde genommen können Websites mit Ihrem Browser Sicherheitseinstellungen für mehrere Seiten erstellen und speichern, und bei Ihrem nächsten Besuch können sie erkennen, wer Sie sind, da niemand genau über diese Einstellungen verfügt.
Apple hat bereits Lösungen für dieses Problem gefunden, z. B. die Festlegung von HSTS-Einstellungen nur für einen oder zwei Hauptdomänennamen pro Site und die Begrenzung der Anzahl zulässiger Captive-Weiterleitungen. Andere Browser befolgen wahrscheinlich diese Sicherheitsmaßnahmen (der Inkognito-Modus von Firefox scheint dabei zu helfen), aber da es keine bestätigten Fälle dafür gibt, hat dies für die meisten von ihnen keine oberste Priorität. Sie können die Angelegenheit selbst in die Hand nehmen, indem Sie sich mit einigen Einstellungen befassen und HSTS-Richtlinien manuell entfernen Aber das war es schon.
Zombie-Kekse/Evercookies
Zombie-Kekse sind genau das, wonach sie klingen – Kekse, die wieder zum Leben erwachen, nachdem Sie dachten, sie wären verschwunden. Sie haben vielleicht schon einmal gesehen, dass sie als „Evercookies“ bezeichnet werden, was leider nicht das Cookie-Äquivalent von Gobstopper ist.
„Evercookie“ ist es tatsächlich Um die Anzahl der verschiedenen Methoden zu veranschaulichen, wurde eine JavaScript-API erstellt Dass Cookies gesammelt werden können, um Löschbemühungen zu vermeiden.
Zombie-Cookies werden nicht gelöscht, da sie sich außerhalb des normalen Cookie-Speichers verstecken. Lokaler Speicher ist ein Hauptziel (Adobe Flash und Microsoft Silverlight werden häufig verwendet), und einige HTML5-Volumes können ebenfalls ein Problem darstellen. Live-Cookies können sich in Ihrem Webprotokoll oder in RGB-Farbcodes befinden, die Ihr Browser in seinem Cache zulässt. Alles was Sie tun müssen, ist einen der versteckten Kekse zu finden und er kann die anderen Kekse wiederbeleben.
Viele dieser Sicherheitslücken verschwinden jedoch. Flash und Silverlight spielen im modernen Webdesign keine große Rolle und viele Browser sind nicht besonders anfällig für andere Evercookie-Verstecke. Da diese Cookies auf viele verschiedene Arten in Ihr System gelangen können, gibt es keine einzige Möglichkeit, sich zu schützen. Es ist jedoch nie eine schlechte Idee, über gute Datenschutzerweiterungen und Löschgewohnheiten im Browser zu verfügen!
Moment, sind wir in Sicherheit oder nicht?
Bei der Online-Tracking-Technologie herrscht ein ständiger Wettlauf um die Spitze. Wenn Sie also an Privatsphäre interessiert sind, wissen Sie wahrscheinlich, dass wir online nie 100 % Anonymität garantieren können.
Über Superkeys müssen Sie sich wahrscheinlich keine allzu großen Sorgen machen, da sie nicht sehr oft zu sehen sind und zunehmend verboten werden. Andererseits sind Zombie-Cookies/Evercookies schwieriger loszuwerden. Viele seiner bekannten Methoden wurden eingestellt, aber es kann immer noch funktionieren, bis jede Schwachstelle behoben ist, und es kann immer wieder neue Technologien hervorbringen.
