“Суперкуки” на основе HSTS
Технология HSTS (HTTP Strict Transport Security) позволяет принудительно переводить браузер в режим HTTPS для некоторых URL, это требуется для того, чтобы предотвратить активные атаки, основанные на замене протокола. Однако на базе HSTS придумали делать “суперкуки” – то есть, идентифицировать браузер, даже если он работает в “анонимном” режиме, не отправляет куки-файлы. Технология довольно занимательная: используется несколько адресов сайтов, с разным состоянием HSTS, это состояние (HTTP/HTTPS) соответствует одному биту идентификатора; javascript-ом состояния битов считываются с набора сайтов и собираются в число, идентифицирующее браузер. Конечно, требуется несколько десятков адресов (например, 32), но это не проблема.
Адрес записки: https://dxdt.ru/2015/04/09/7359/
Похожие записки:
- TLS: выбор сертификата по УЦ в зависимости от браузера
- Статья о Certificate Transparency
- Десятилетие DNSSEC в российских доменах
- Реплика: атака посредника в TLS и проблема доверия сертификатам
- Удаление "неактивных" google-аккаунтов
- Говорилки в google-поиске
- Интерпретация DMARC в разрезе DKIM
- Пресертификаты в Certificate Transparency
- Про цепочки, RSA и ECDSA
- Сервис для просмотра логов Certificate Transparency
- Трафик на тестовом сервере TLS 1.3 и ESNI
1 комментарий от читателей
1. 11th April 2015, 09:28 // Читатель Jno написал:
Пишут, что свежие версии ФФ не делают такого.