即使删除了浏览器的所有历史记录并使用了VPN,该网站又如何能重新识别我?


222

尽管执行以下操作,但网站dropmail.me仍然能够成功地重新识别我(并通过“还原访问权限”提供我上次使用的临时邮件地址):

  • 删除我所有的浏览器历史记录,包括缓存,Cookie,网站设置,下载历史记录,搜索历史记录,浏览器历史记录和活动登录名。基本上可以通过Firefox菜单删除的所有内容。我正在使用Firefox 52 ESR。
  • 使用我以前访问该网站时未曾使用过的VPN(根据他们的说法,它可以防止IPv6和DNS泄漏)。
  • 使用uBlock Origin和uMatrix

附加信息:

  • 我的“身份”必须以某种方式绑定到我当前的浏览器配置文件。当我使用其他浏览器或新的浏览器配置文件时,该网站不会将我重新标识为同一个人。实际上,只需使用Firefox插件Priv8并创建一个新的沙箱即可将其标识为其他人。这可能表明存在某种无法通过Firefox访问或删除的网站存储。(这不是Flash cookie,该网站不使用Flash!)
  • (更新)其他浏览器不受影响。删除浏览器历史记录后,Microsoft Edge不允许重新识别。这是仅限Firefox的问题!

我的问题是:

  • 他们究竟能如何重新识别我?因为他们重新识别我的唯一动机是提供对以前使用的邮件地址的访问权限,所以我认为他们没有使用任何“深色”技术(例如指纹识别),但是当然不能排除它。
  • 如何保护本网站使用的这种“超级跟踪”?

6
造访时使用隐身模式。Chrome和IE都有,我敢肯定Firefox也有。
Appleoddity

5
@Appleoddity:是的,隐身模式会有所帮助,但据我了解,这只会阻止网站存储或读取浏览器历史记录等。因此,当我删除所有内容时,它应该具有相同的效果,但不会。也许是Firefox中的错误?
曼努埃尔·

22
我强烈怀疑的邪恶是evercookie
总理

2
@Prime,在这种情况下不是。曼努埃尔说得对:“由于重新识别我的唯一动机是提供对以前使用的邮件地址的访问权限,所以我认为他们没有使用任何“深色”技术”,并且偷看代码,您会发现他们只是在使用标准网络技术。在这种情况下,Firefox应该归咎于此。
Arjan

9
即使清除所有内容仍然无法防止指纹
o11c

Answers:


253

该网站使用MDN为其编写的 IndexedDB :

IndexedDB是您将数据持久存储在用户浏览器内部的一种方法。因为它使您可以创建具有丰富查询功能的Web应用程序,而不管网络是否可用,所以您的应用程序可以在线和离线使用。

确实不清除它听起来确实像是Firefox中的错误,但是显然开发人员会感到不一样。就像2015年3月一样,有人写道

但是,即使删除所有历史记录信息,IndexedDB中的数据也会保留。

删除此数据的正确方法是转到about:permissions地址,查找域,然后按Forget About This Site按钮。

虽然about:permissions在我的Firefox 55中无法使用,但是进入“工具”,“页面信息”,“权限”后,我看到了“清除存储”按钮:

页面信息对话框

更糟糕的是,以上屏幕截图中呈灰色显示的“使用默认值:始终询问”,或者在“高级”,“网络设置中启用“在网站要求存储数据供离线使用时告诉您”都不会对避免存储产生任何影响。 :

高级设置

从2011年8月开始,以下内容似乎仍然适用(我在其中添加了[[only]]):

在Firefox 4中,默认情况下,一个站点最多可以使用50MB的IndexedDB存储。[仅]如果尝试使用超过50MB,则Firefox会询问用户权限[...]

在用于移动设备的Firefox(谷歌Android和诺基亚Maemo)中,如果站点尝试使用超过5MB的内存,则Firefox会[仅]请求许可[...]

要完全禁用它,请转到about:config并禁用dom.indexedDB.enabled。但是,请注意,这也可能会影响插件/附加组件,这似乎就是为什么某些人想要删除该选项的原因,有人在2016年5月指出

在就接受/清除和第三方行为而言,在以与Cookie相同的方式处理IndexedDB之前,该首选项应该存在。

(也可能会觉得dom.storage.enabled有趣...)


153
确实。哇。没关系 我现在没有在浏览器中发现一个“痴迷于保护您的隐私”的漏洞。
曼努埃尔

23
禁用它甚至会破坏前面提到的网站,也可能会破坏其他网站。让我们希望Mozilla对此有所了解。一种解决方案是在关闭浏览器后删除此存储,并且只有我信任的所选站点可以拥有其永久存储。(这是我目前处理Cookie的方式)
曼努埃尔


10
德国媒体提到了这个话题:heise.de/-3835084
StanE

27
Mozilla将IndexedDB与cookie区别对待一直是非常愚蠢的。它仍然是一种饼干。协议是不同的,但是很明显,如果我要阻止或删除所有我不在乎协议的cookie。不幸的是,Mozilla的做法始终是“现在添加功能,如果有的话,从现在开始整理出对隐私的影响”。@manuel尝试一下about:config。Firefox中确实内置了很多可怕的东西,并且默认情况下启用了这些东西。Mozilla所谓的亲权立场是纯粹的营销,仅此而已。
Boann

59

正如Arjan所指出的,不幸的是,保留当前安装的站点数据很容易。通过FF57中的UX重新设计偏好,这有所改善。

例如,在“隐私和安全”下现在有一个“站点数据”部分:

重新设计了Firefox 57中的“隐私和安全性”菜单

单击站点数据的“设置”将允许您删除特定来源的站点数据:

设置-网站数据

这将删除存储在IDB,Cache API等中的数据。还将删除源的cookie:

删除特定站点的站点数据

(很抱歉在Arjan的回答下未对此发表评论,但我想包含这些屏幕截图。)

免责声明:我是Mozilla员工


4
如果您还打算实际上提示用户允许存储数据开始,就算只是一点点,您知道吗?(我在某处已经读到,对于第三方网站,“允许第三方Cookie”的设置也适用于IndexedDB,但我尚未对此进行测试。)“脱机Web内容和用户数据”设置非常诱人,我觉得,因为它显然不适用于IndexedDB。
Arjan

我对它的“不是这个起源的一切都纳粹”的评论是错误的。实际上,它也确实删除了cookie。我将更新答案以反映这一点。
Ben Kelly

8
在适当时提示和过多提示之间很难平衡。目前,存储是围绕想法设计的,站点可以在没有提示的情况下使用存储,但是浏览器可以在压力下自由删除它。如果站点需要持久存储,则需要提示。禁用第三方Cookie时,将在第三方iframe中禁用存储API。将来,我们可能会基于顶级窗口原点(如野生动物园所做的事情)对原点进行“双键输入”,这将进一步隔离存储。在FF中,这称为“第一方隔离”,来自TOR项目。
Ben Kelly

7
@Ben Kelly:它仍然没有涵盖用例“允许每个网站存储所有内容以维护功能,但是在浏览器退出时自动删除存储”对吗?私有浏览也不是一个好的解决方案,因为它根本不保留任何内容(也许我仍想保留我真正信任的站点的浏览器历史记录或存储。而且,不,我不想一直在正常浏览和私有浏览之间切换。)
manuel

19
您已解决“退出时删除” Cookie设置不适用于IDB之类的问题。我在此处bugbug.mozilla.org/show_bug.cgi?id=1400678提交了错误。我相信我们也在重新设计我们的总体权限UX,但是我不确定这里是否包含关于存储限制的讨论。我也为此提交了一个错误:bugzilla.mozilla.org/show_bug.cgi?id=1400679。我们正在努力改善这些功能,但这是一个渐进的过程。对不起,问题。
Ben Kelly

5

编辑:在弄乱您个人资料中的任何文件之前,请先阅读本·凯利(Ben Kelly)的评论。


由于Firefox内部没有解决方案,因此可以在Firefox之外轻松地对此进行临时修复。IndexedDB文件存储在目录中<profile>/storage/default。通过清空此文件夹(例如,通过计划的脚本),您可以恢复对数据及其持续时间的完全控制。由于每个网站都存储在单独的文件夹中,因此,如果您有一定的编程经验,您甚至可以实施白名单/黑名单或基本上所有所需的策略。

这不是一个好的解决方案,也不是Firefox开发人员继续为此推迟适当解决方案的借口。(Bugreports已经存在多年了!)

并且请注意,数据格式和位置可能会随时间变化。例如,在以前的版本中,所有IndexedDB数据都存储在单个SQL文件中。


2
请注意,这可能会损坏您某些网站的配置文件。一些状态(如服务工作者注册)存储在此目录之外。如果删除存储,站点可能会造成混乱,但是服务工作者的注册仍然保留。我们新的“站点数据”删除用户体验将于11月发布,是更好的解决方案。或者,仅在私有浏览模式下运行,这将禁用所有存储。
Ben Kelly

1
@BenKelly “ ...存储在此目录之外。” 这意味着什么?存放在哪里?我们如何也删除该部分?
John1024 '17

2
我们不支持对配置文件目录进行任意更改。如果您开始手动删除内容,那么如果您的个人资料损坏并且网站无法正常工作,请不要感到惊讶。我真的不推荐。在我们发言时,原始问题在这里提出的一些问题已得到解决。另外,私有浏览,容器等已被称为即时解决方案。请不要手工修改您的个人资料。
Ben Kelly
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.