尽管执行了以下操作,但dropdrop.me网站仍然能够成功地重新识别我(并通过“还原访问权限”提供我上次使用的临时邮件地址):包括缓存,Cookie,网站设置,下载历史记录,搜索历史记录,浏览器历史记录和活动登录名。基本上可以通过Firefox菜单删除的所有内容。我正在使用Firefox 52 ESR。
使用我以前访问该网站时未曾使用过的VPN(根据他们的说法,它可以防止IPv6和DNS泄漏)。

其他信息:


我的“身份”必须以某种方式绑定到我当前的浏览器配置文件。当我使用其他浏览器或新的浏览器配置文件时,网站不会将我重新标识为同一个人。实际上,只需使用Firefox插件Priv8并创建一个新的沙箱即可将其标识为其他人。这可能表明存在某种无法通过Firefox访问或删除的网站存储。 (这不是Flash cookie,该网站不使用Flash!)
(更新)其他浏览器不受影响。删除浏览器历史记录后,Microsoft Edge不允许重新识别。这是仅限Firefox的问题!

我的问题是:


他们究竟能如何重新识别我?因为他们重新识别我的唯一动机是提供对以前使用的邮件地址的访问权限,所以我认为他们没有使用任何“深色”技术(例如指纹识别),但是当然不能排除它。
我怎么能保护免受本网站使用的这种“超级跟踪”?


评论

访问时使用隐身模式。 Chrome和IE都可以,我相信Firefox也可以。

@Appleoddity:是的,隐身模式会有所帮助,但是据我了解,这只会阻止网站存储或读取浏览器历史记录等。因此,当我删除所有内容时,它应该具有相同的效果,但不会。也许是Firefox中的错误?

我强烈怀疑evercookie的弊端

@Prime,在这种情况下不是。曼努埃尔说得对:“由于重新识别我的唯一动机是提供对以前使用的邮件地址的访问权限,所以我认为他们没有使用任何“深色”技术”,并且偷看代码,您会发现他们只是在使用标准网络技术。在这种情况下,Firefox应该归咎于此。

即使清除所有内容仍无法防止指纹污染

#1 楼

该网站使用MDN为其编写的IndexedDB:


IndexedDB是一种将数据持久存储在用户浏览器中的方法。因为它使您可以创建具有丰富查询功能的Web应用程序,而不管网络是否可用,所以您的应用程序可以在线和离线运行。


不清除它确实听起来像是Firefox中的错误,但显然开发人员会感到不舒服。就像2015年3月一样,有人写道:


但是,即使删除所有历史记录信息,IndexedDB的数据仍然会保留。是通过转到about:permissions地址,查找域,然后按Forget About This Site按钮。


虽然about:permissions在我的Firefox 55中不起作用,请进入“工具”,“页面信息”,“权限”按钮“清除存储”:



更糟的是,上面的屏幕截图中灰显的“使用默认值:始终询问”,也没有启用“告诉您网站要求存储数据以供脱机使用”在“高级”,“网络”设置中,对于避免存储有任何影响:



从2011年8月开始,以下内容似乎仍然可能apply(我在其中添加了[[only]]):


在Firefox 4中,默认情况下,一个站点最多可以使用50MB的IndexedDB存储。 [仅]如果尝试使用超过50MB,则Firefox会询问用户权限[...]

在用于移动设备的Firefox(Google Android和诺基亚Maemo)中,Firefox [仅]如果站点尝试使用超过5MB的空间,请寻求许可。要完全禁用它,请转至about:config并禁用dom.indexedDB.enabled。但是,请注意,这也可能会影响插件/附加组件,这似乎就是为什么某些人想要删除该选项的原因,有人在2016年5月指出了该选项:就接受/清除和第三方行为而言,以与Cookie相同的方式进行处理,此首选项应该存在。


(也可能会发现dom.storage.enabled很有趣...)

评论


确实。哇。没关系我现在没有在浏览器中发现“痴迷于保护您的隐私”的漏洞。

–Manuel
17年9月16日在16:32

禁用它甚至会破坏前面提到的网站,也可能会破坏其他网站。让我们希望Mozilla能够对此有所了解。一种解决方案是在关闭浏览器后删除此存储,并且只有我信任的所选站点可以拥有其永久存储。 (这是我目前处理Cookie的方式)

–Manuel
17 Sep 16 '17:56



另请参见bugzilla.mozilla.org/show_bug.cgi?id=1047098

–鲍勃
17年9月16日在18:00

德国媒体提到了这个话题:heise.de/-3835084

– StanE
17年9月19日在12:21

Mozilla对待IndexedDB与cookie的不同之处一直是非常愚蠢的。它仍然是一种饼干。该协议是不同的,但是很明显,如果我要阻止或删除所有我不关心该协议的cookie。不幸的是,Mozilla的做法始终是“现在添加功能,如果有的话,还要从现在开始整理出对隐私的影响”。 @manuel尝试一下about:config。 Firefox中确实内置了很多可怕的东西,并且默认情况下启用了这些东西。 Mozilla所谓的亲权立场是纯粹的营销,仅此而已。

– Boann
17年9月19日在13:40



#2 楼

正如Arjan所指出的,不幸的是,保留当前安装的站点数据很容易。通过FF57中的偏好UX重新设计,这种情况有所改善。例如,在“隐私和安全性”下现在有一个“站点数据”部分:
/>
单击站点数据“设置”将允许您删除特定来源的站点数据:



这将删除存储在IDB中的数据,缓存API等。它还会删除原始Cookie:



(很抱歉,在Arjan的回答下未对此发表评论,但我想包括这些内容屏幕快照。)

免责声明:我是Mozilla员工

评论


如果您还打算实际上提示用户许可以存储数据作为开始,即使只是一点点,您知道吗? (我在某处已经读到,对于第三方网站,“允许第三方Cookie”的设置也适用于IndexedDB,但我尚未对此进行测试。)“脱机Web内容和用户数据”设置非常诱人,我觉得,因为它显然不适用于IndexedDB。

– Arjan
17年9月17日在8:23

我对它的“不是这个起源的一切”的评论是错误的。实际上,它也确实删除了cookie。我将更新答案以反映这一点。

–本·凯利
17年9月17日在13:42

在适当时提示和过多提示之间很难平衡。目前,存储是围绕想法设计的,站点可以在没有提示的情况下使用存储,但是浏览器可以在压力下自由删除它。如果站点需要永久存储,则需要提示。禁用第三方Cookie时,将在第三方iframe中禁用存储API。将来,我们可能会基于顶级窗口原点(如野生动物园所做的事情)对原点进行“双键输入”,这将进一步隔离存储。在FF中,这称为“第一方隔离”,来自TOR项目。

–本·凯利
17年9月17日13:50



@Ben Kelly:它仍然没有涵盖用例“允许每个网站存储所有内容以维护功能,但在浏览器退出时自动删除存储”对吗?私有浏览也不是一个好的解决方案,因为它根本不保留任何内容(也许我仍然想保留我真正信任的网站的浏览器历史记录或存储。而且,不,我不想一直在正常浏览和私有浏览之间切换)

–Manuel
17年9月17日在14:16

您已纠正“退出时删除” Cookie设置不适用于IDB之类的问题。我在此处bugbug.mozilla.org/show_bug.cgi?id=1400678提交了一个错误。我相信我们也正在重新设计我们的总体权限UX,但是我不确定这里是否包含关于存储限制的讨论。我也为此提交了一个错误:bugzilla.mozilla.org/show_bug.cgi?id=1400679。我们正在努力改善这些功能,但这是一个渐进的过程。对不起,问题。

–本·凯利
17年9月17日在15:30

#3 楼

编辑:在弄乱您个人资料中的任何文件之前,请先阅读本·凯利(Ben Kelly)的评论。 。 IndexedDB文件存储在目录<profile>/storage/default中。通过清空此文件夹(例如,通过计划的脚本),您可以恢复对数据及其持续时间的完全控制。由于每个网站都存储在单独的文件夹中,如果您有一定的编程经验,您甚至可以实施白名单/黑名单或基本上每个所需的策略。开发人员将继续为此推迟适当的解决方案。 (Bugreports已经存在多年了!)

请注意,数据格式和位置可能会随时间变化。例如,在以前的版本中,所有IndexedDB数据都存储在单个SQL文件中。

评论


请注意,这可能会破坏您某些网站的配置文件。一些状态(例如服务工作者注册)存储在此目录之外。如果删除存储,站点可能会造成混乱,但是服务工作者的注册仍然保留。我们新的“站点数据”删除用户体验将于11月发布,是更好的解决方案。或者,仅在私有浏览模式下运行,这将禁用所有存储。

–本·凯利
17 Sep 17 '14:00



@BenKelly“ ...存储在此目录之外。”这意味着什么?存放在哪里?我们如何也删除该部分?

–John1024
17年9月23日在6:04

我们不支持对配置文件目录进行任意更改。如果您开始手动删除内容,那么如果您的个人资料损坏并且网站无法正常工作,请不要感到惊讶。我真的不推荐。在我们发言时,原始问题在此处提出的一些问题已得到解决。另外,私有浏览,容器等已被称为即时解决方案。请不要手工修改您的个人资料。

–本·凯利
17年9月24日在0:28