2

我刚刚在Github上发现了 Evercookie 项目。

Evercookie 是一种 Javascript API，可在浏览器中生成极其持久的 cookie。它的目标是即使在他们删除了标准 cookie、Flash cookie（本地共享对象或 LSO）等之后也能识别客户端。

这是通过尽可能多的浏览器存储机制存储 cookie 数据来实现的。如果 cookie 数据从任何存储机制中删除，evercookie 会在每个机制中积极地重新创建它，只要其中一个仍然完好无损。

如果 LSO 机制可用，Evercookie 甚至可以在同一客户端机器上的不同浏览器之间传播 cookie！

我在这个示例页面上在线测试了它。我单击“创建evercookie”按钮，删除了所有浏览数据并刷新了页面。通过删除浏览数据删除的 cookie 再次返回那里。

这东西的浏览器安全性在哪里？这是安全的吗？

4

3 回答 3

2

If you want to disable Flash based cookies, use Adobe's "Global Storage Settings" panel here:

http://www.macromedia.com/support/documentation/en/flashplayer/help/settings_manager03.html

Perform all of these Steps:

  1. Uncheck "Allow 3rd Party Flash Content to store data on your computer"
  2. Check "Never ask again" (a non-obvious, but important step)
  3. Click the 2nd to last tab: "Website Storage Settings"
  4. Delete all existing data

Chrome bundles its own Flash plugin on Windows and Mac OS X. The settings and disk storage are separate from the plugin packaged directly by Adobe, so you may need to perform the above steps twice if you use Chrome. On the plus side, the separate storage location prevents Flash from being used to synchronize cookies to or from Chrome and other browsers.

I recommend testing with my personal site:

http://noc.to

The "Zombie Cookie" section can show you exactly how cookies are being restored and help you determine if the above steps (or any tools you use) are working.

于 2013-07-15T07:19:55.950 回答
1

为了创建一个 Evercookie，您只需要：

  • 运行 JavaScript（或其他活动内容，如 Flash 和 Java）的能力；和
  • 访问存储 cookie 数据副​​本的各种客户端位置的能力。

完全禁用对所有存储机制的访问将使它们中的大多数变得无用；对于他们中的大多数人来说，他们存在的全部原因是允许脚本使用它们。因此，唯一甚至远程可行的选择是按域限制访问。不过，我不确定哪些浏览器（如果有）允许这种粒度。大多数可以允许或阻止整个 JS 来自某些域，但至于给定域的脚本可以使用哪些功能......？至少我在 Chrome 26 或 IE 10 中没有看到这种能力。

于 2013-05-10T11:48:24.987 回答
1

好吧，它似乎并没有那么好。

  • 创建了everCookie
  • 关上了窗户
  • 清空 Firefox 缓存的所有元素（只需删除最近的历史记录并检查除站点首选项之外的所有内容）
  • 关上了窗户
  • 回到页面
  • 终于意识到它没有被存储

奇怪的是，我没有在 Flash 网站存储设置面板中明确删除 Flash cookie。也许它已集成到 Firefox 中。或者我可能禁用了它们。

我认为还有其他几种方法可以存储 cookie 并跟踪您。Facebook 已经在整个网络上跟踪您，即使断开连接也是如此。谷歌也是（你使用 Chrome 吗？）。此外，使用 IPv4 地址，我们当然可以找回您（为什么不在您清空缓存之后！）。我们还可以在重新登录任何站点时找到您，并与您之前的会话建立链接。

我建议：

  • 用火狐，虽然比Chrome慢，但还是比较尊重隐私
  • 在窗口关闭时删除整个 Internet 缓存（抱歉，您必须在首选站点上重新登录）
  • 检查第三方 cookie 选项
  • 小心使用浏览器插件
  • 检查 Flash 和 Silverlight cookie 选项
  • 避免网站声誉检查（前提是您可以识别钓鱼尝试）
  • 当您不想分享您的数字生活时，请使用隐私浏览模式
于 2013-05-10T12:06:16.777 回答