Kako spriječiti praćenje HSTS-a u Firefoxu
- Kategorija: Firefox
HTTP stroga sigurnost u prometu (HSTS) dizajnirana je za pomoć sigurnim web lokacijama (onima koje koriste HTTPS) izjavljujući internetskim preglednicima da bi trebali komunicirati samo putem HTTPS-a s poslužiteljem kako bi se zaštitile veze od napada napada i uklanjanja kolačića.
Mozilla je implementirala podršku za HSTS u svom sadašnjem obliku u Firefox u 2014. godini i od tada je aktivan u svim verzijama Firefoxa.
Ars Technica među prvima su postavili zabrinutost zbog implementacije HSTS-a u web-preglednike jer je operaterima web lokacija omogućilo postavljanje superpokaza u preglednike koristeći tehnologiju koja je dizajnirana za poboljšanje sigurnosti korisnika.
DO demo mjesto stvorio je Sam Greenhalgh kako bi demonstrirao koncept. Kada posjetite web mjesto u pregledniku koji podržava HSTS, dodijelite vam jedinstveni ID koji postoji u čitavim sesijama preglednika i može se koristiti za praćenje zbog njega.
Napomena: Ovaj problem nije ograničen na web preglednik Firefox, jer su Google Chrome i drugi preglednici koji su implementirali tu značajku također podložni praćenju HSTS-a.
Trenutačno Firefox upravlja HSTS-om
Firefox sprema HSTS informacije u datoteku SiteSecurityServiceState.txt koju nalazite u korijenu mape vašeg profila Firefox.
Najlakši način za otvaranje je učitavanje o: podršci u adresnoj traci Firefoxa i nakon što se učita na gumb 'prikaži mapu' na stranici. Ovo otvara fasciklu profila Firefoxa u zadanom pregledniku sistemske datoteke.
Kada otvorite datoteku u uređivaču teksta, dobit ćete popis povezanih imena i vrijednosti domena, uključujući datum isteka.
Firefox upravlja s HSTS-om u načinu privatnog pregledavanja i načinu redovitog pregledavanja različito.
- Redoviti način pregledavanja: HSTS traje kroz sesije.
- Način privatnog pregledavanja: Podaci o HSTS-u brišu se nakon sesije.
Imajte na umu da web stranice mogu pristupiti informacijama HSTS stvorene tijekom redovnih sesija pregledavanja kada uđete u način privatnog pregledavanja u toj sesiji.
Zaštita od praćenja HSTS-a
Za razliku od kolačića, HSTS ne nudi pristup bijeloj listi ili crnoj listi. Značajka je omogućena prema zadanim postavkama i čini se da nema sklonosti njenom onemogućavanju.
Čak i ako postoji opcija da se to učini, to bi utjecalo na sigurnost tijekom pretraživanja Interneta.
1. Koristite samo način privatnog pregledavanja
Budući da Firefox uklanja podatke HSTS-a nakon zatvaranja sesija privatnog pregledavanja, trenutno je najbolja opcija za sprječavanje praćenja supercookie bez ugrožavanja sigurnosti.
Da biste pokrenuli Firefox u načinu privatnog pregledavanja, upotrijebite prečac Ctrl-Shift-P ili pritisnite tipku Alt i odaberite Datoteka> Novi privatni prozor.
2. Očistite postavke web-mjesta pri izlasku
Druga mogućnost koju trebate očistiti je Postavke web mjesta kad god zatvorite Firefox preglednik. Ovim se uklanjaju sve HSTS informacije spremljene u datoteci SiteSecurityServiceState.txt, ali utječu i na ostale postavke web mjesta kao što su dopuštenja specifična za web mjesto ili razine zumiranja kako ih operacija očisti.
Napomena: Ovo funkcionira i u pregledniku Google Chrome. Dodirnite Ctrl-Shift-Del da biste otvorili dijaloški okvir s jasnim podacima pregledavanja u pregledniku. Provjerite jesu li odabrani 'kolačići i drugi podaci o web lokacijama i dodacima' i nakon toga pogodite jasne podatke pregledavanja.
Ovo će ukloniti i kolačiće i postavke web mjesta.
3. Ručno uklonite unose iz HSTS datoteke
Datoteka HSTS jednostavan je tekstualni dokument, što znači da lako možete manipulirati podacima u njoj koristeći uređivače teksta.
Provjerite je li Firefox zatvoren prije nego što to učinite, jer će sadržaj biti prepisan nakon prekida Firefoxa.
Metoda vam daje potpunu kontrolu nad HSTS-om, ali zahtijeva redovitu ručnu intervenciju i možda zbog toga nije prikladna.
Jedna od mogućih opcija je zadržati odabrane web lokacije i datoteke učiniti nakon toga samo za čitanje kako bi ih blokirali novi unosi.
I dalje ćete ga morati redovito uređivati ručno jer HSTS podaci imaju datum isteka.
4. Uklonite podatke HSTS datoteke automatski
Programi poput CCleaner podržavaju čišćenje HSTS Supercookies-a, ali također možete pokrenuti lokalnu naredbu kao što je echo ''> /SiteSecurityServiceState.txt na datoteci redovito da biste je uklonili. Ako je dodate u batch datoteku i pokrenete je pri pokretanju ili isključivanju sustava, ne biste se trebali brinuti o podacima HSTS-a koji traju tijekom sesija.
5. Učinite HSTS datoteku samo za čitanje
Ovaj radikalni pristup blokira Firefox da sprema podatke u datoteku HSTS. Iako je to učinkovito u sprečavanju praćenja, to znači da preglednik ne može koristiti HSTS radi poboljšanja sigurnosti.
Da biste ga učinili samo čitljivim u sustavu Windows, desnom tipkom miša kliknite datoteku i odaberite svojstva iz kontekstnog izbornika. Pronađite okvir samo za čitanje na stranici s svojstvima i provjerite. Nakon toga kliknite OK da biste primijenili promjenu. (Hvala Hlače)