Cum să prevină urmărirea HSTS în Firefox
- Categorie: Firefox
HTTP Strict Transport Security (HSTS) a fost conceput pentru a ajuta securizarea site-urilor web (cele care utilizează HTTPS) prin declararea către browserele web că ar trebui să comunice numai prin HTTPS cu serverul pentru a proteja conexiunile împotriva atacurilor de downgrade și a deturnării cookie-urilor.
Mozilla a implementat suportul pentru HSTS în forma sa actuală din Firefox în 2014 și de atunci a activat în toate versiunile Firefox.
Ars Technica au fost printre primii care și-au exprimat îngrijorarea cu privire la implementarea HSTS în browserele web, deoarece le-a permis operatorilor de site să planteze supercookies în browsere folosind tehnologia concepută pentru a îmbunătăți securitatea utilizatorilor.
LA site-ul demo a fost creat de Sam Greenhalgh pentru a demonstra conceptul. Când vizitați site-ul într-un browser care acceptă HSTS, vi se atribuie un ID unic care persistă în cadrul sesiunilor browserului și poate fi utilizat pentru a vă urmări din cauza acestuia.
Notă: Această problemă nu se limitează la browserul web Firefox, deoarece Google Chrome și alte browsere care au implementat funcția sunt vulnerabile și la urmărirea HSTS.
Modul în care HSTS este tratat de Firefox în prezent
Firefox salvează informațiile HSTS în fișierul SiteSecurityServiceState.txt pe care îl găsești în rădăcina folderului profilului Firefox.
Cel mai simplu mod de a-l deschide este să încărcați: suport în bara de adrese Firefox și să faceți clic pe butonul „Afișați folderul” din pagină după ce a fost încărcat. Aceasta deschide folderul de profil al Firefox în browserul implicit de fișiere de sistem.
Când deschideți fișierul într-un editor de text simplu, veți obține o listă de nume de domeniu și valori asociate acestora, inclusiv o dată de expirare.
Firefox gestionează în mod diferit HSTS în modul de navigare privată și modul de navigare obișnuit.
- Mod de navigare regulat: HSTS persistă pe parcursul sesiunilor.
- Mod de navigare privat: informațiile HSTS sunt șterse după sesiune.
Rețineți că site-urile pot accesa informațiile HSTS create în timpul sesiunilor de navigare obișnuite atunci când intrați în modul de navigare privată în acea sesiune.
Protecție împotriva urmăririi HSTS
Spre deosebire de cookie-uri, HSTS nu oferă nici o abordare albă sau listă neagră Funcția este activată implicit și se pare că nu există nicio preferință pentru a o dezactiva.
Chiar dacă ar exista o opțiune în acest sens, aceasta ar afecta securitatea în timp ce navigați pe Internet.
1. Folosiți doar modul de navigare privat
Deoarece Firefox șterge informațiile HSTS după ce închideți ședințele de navigare privată, în prezent este cea mai bună opțiune pentru a preveni urmărirea supercookie fără a compromite securitatea.
Pentru a lansa Firefox în modul de navigare privată, utilizați comanda rapidă Ctrl-Shift-P sau apăsați tasta Alt și selectați Fișier> Fereastră privată nouă.
2. Ștergeți Preferințele site-ului la ieșire
A doua opțiune pe care o aveți este să ștergeți Preferințele site-ului ori de câte ori închideți browserul Firefox. Acest lucru scapă de toate informațiile HSTS salvate în fișierul SiteSecurityServiceState.txt, dar are impact asupra altor preferințe specifice site-ului, cum ar fi permisiunile specifice site-ului sau nivelurile de zoom, deoarece acestea sunt șterse și de operație.
Notă: Aceasta funcționează și în Google Chrome. Apăsați pe Ctrl-Shift-Del pentru a deschide dialogul cu date de navigare șterse în browser. Asigurați-vă că „cookie-urile și alte date despre site-uri și plugin-uri” sunt selectate și atingeți datele de navigare clare după aceea.
Acest lucru va elimina și cookie-urile și preferințele site-ului.
3. Eliminați manual intrările din fișierul HSTS
Fișierul HSTS este un document text simplu, ceea ce înseamnă că puteți manipula ușor datele din acesta folosind editori de text.
Asigurați-vă că Firefox este închis înainte de a face acest lucru, deoarece conținutul va fi suprascris atunci când Firefox este încheiat.
Metoda îți oferă un control complet asupra HSTS, dar necesită o intervenție manuală în mod regulat și este posibil să nu fie adecvat din cauza acestui lucru.
O opțiune pe care o puteți avea este să păstrați anumite site-uri și să faceți ca fișierul să fie citit numai după aceea pentru a bloca noi intrări la acesta.
Va trebui totuși să o editați manual în mod regulat, deoarece informațiile HSTS au o dată de expirare.
4. Eliminați automat fișierele HSTS
Programele precum CCleaner acceptă curățarea HSTS Supercookies, dar puteți rula și o comandă locală, cum ar fi echo ''> /SiteSecurityServiceState.txt din fișier în mod regulat pentru al elimina. Dacă îl adăugați la un fișier de lot și îl executați la pornirea sau oprirea sistemului, atunci nu trebuie să vă faceți griji cu privire la informațiile HSTS care persistă în cadrul sesiunilor.
5. Faceți fișierul HSTS numai de citire
Această abordare radicală împiedică Firefox să salveze informații în fișierul HSTS. Deși acest lucru este eficient în prevenirea urmăririi, înseamnă că browserul nu poate folosi HSTS pentru a îmbunătăți securitatea.
Pentru a face doar citire pe Windows, faceți clic dreapta pe fișier și selectați proprietăți din meniul contextual. Localizați caseta de numai citire în pagina proprietăți și verificați-o. Faceți clic pe OK după aceea pentru a aplica modificarea. (Multumesc Pantaloni)