Flash cookies：网络隐私新威胁

ZDNet安全频道原创翻译 转载请注明作者以及出处

如果你还认为在HTTP下的cookies无法被跟踪，就需要提高警惕。网站开发人员已经找到一种方法来实现跟踪工作了。
--------------------------------------------------------------------------------------------

　　对于网站和广告商来说，通过HTTP下的cookies获取信息并不是受到欢迎的方式。现在的用户已经找到方法回避它们了。根据布鲁斯·施奈尔的消息，网站开发人员现在有了一种更好的方法。尽管它仍然被视为一个Cookie，但却是不同的。

　　LSO，一种更大更好的cookie

　　类似HTTP下的cookie，本地共享对象(LSO)或者叫Flash　cookie是一种存储关于我们的信息和跟踪在互联网上活动情况的方式。关于这个项目，我了解到的信息有：

　　· Flash　cookie可以容纳最多100千字节的数据，而一个标准的HTTP　Cookie只有4千字节。

　　· Flash　cookie没有默认的过期时间。

　　· Flash　cookie将被存储在不同的地点，这使得它们很难被找到。

　　YouTube上的测试

　　LSO也非常难于清除。这里就有一个例子可以证明。访问YouTube网站，打开一个视频，调节音量。删除所有Cookies并关闭网络浏览器。重新打开网络浏览器并播放同一视频。请注意，声音并没有恢复到默认设置。这证明Flash　cookie并没有被清除，还在发挥作用。

　　很少有人知道Flash　cookies的存在，因此，这是一个问题。它让那些对网络浏览器的cookies进行控制的用户获得了一种虚假的安全感。正如上面提到的，隐私控制不会Flash　cookies造成影响。

　　它们保存在什么地方

　　Flash　cookies采用.sol的扩展名。但即使知道了这一点，我仍然无法在我的计算机上找到任何存在的迹象。多谢谷歌(使用Flash　cookies)，我发现了解有关Flash　cookies信息的唯一途径就是Flash播放器的网站。

　　下面的图片来自Flash播放器的网站，显示了存储方面的设置。标签中显示的就是访问过的网站(总共200个)中，所有保存的Flash　cookies的位置。如果希望删除的话，该标签也是进行这种操作的位置。

　　Flash　cookies相当流行

　　谷歌的另一次搜索结果给我带来了一份加利福尼亚大学伯克利分校的研究报告。研究人员对最大的100个网站中的Flash　cookies应用和隐私情况进行了调查。结果显示：

　　· 100大网站中有54家采用了Flash　cookies。

　　· 这54家网站使用了157条Flash　cookies，产生了281条个人Flash　cookies记录。

　　· 100大网站中有98家采用了HTTP　cookies。这98家网站产生了3602条HTTP　cookies记录。

　　· 这些网站中的31家采用了TRUSTe隐私标志计划。31家中的14家应用了Flash　cookies。

　　· 100大网站中只有4家利用Flash作为跟踪机制。

　　看起来，很多网站都同时使用HTTP和Flash　cookies。这让研究人员感到非常迷惑。经过深入分析，他们找出了原因，重生(respawning)。

　　Flash　cookie重生

　　加利福尼亚大学伯克利分校的研究人员发现在关闭浏览器的时间被删除的HTTP　cookies可以利用Flash　cookie中的信息重写(重生)：

　　“我们在几家网站上发现了HTTP　cookie被重写的情况。在About.com上，一条SpecificClick　Flash　cookie重写了一条被删除的SpecificClick　HTTP　cookie。同样的情况出现在Hulu.com上，一条QuantCast　Flash　cookie重写了一条被删除的QuantCast　HTTP　cookie。”

　　研究人员还发现Flash　cookies能够恢复的，不仅限于同一网站域名的HTTP　cookies：

　　“我们还发现HTTP　Cookie可以跨域重写。举例来说，第三方ClearSpring的Flash　cookie可以重写符合Answers.com要求的HTTP　cookie。ClearSpring还可以直接重写符合Aol.com和Mapquest.com要求的HTTP　cookies。”

　　它的功能变得更强大

　　不久之前，就谷歌开始使用它们宣称不会使用的行为定位(BT)技术时，我曾经写过一篇文章。在文章中，我曾经提到网络广告促进协会(NAI)。大约有30家公司采用了BT技术。迫于压力，该协会创建了一个选择退出页面，让避免被跟踪变得十分简单。

　　研究人员发现，cookie退出的设置是不全面的。属于NAI的网站都创建了Flash　cookies　。报告中提到了一个具体事件：

　　“我们发现当NAI上设置QuantCast的cookie退出后，Flash　cookies还是处于使用状态。在cookies被删除后，Flash　cookie还容许重写QuantCast　HTML　cookie。它没有选择重写退出的Cookie。因此，用户在选择退出后跟踪仍然存在。”

　　一些解决方案

　　为了避免保存Flash　cookies，就需要利用设置管理器进入全局存储设置选项，移除如下图所示的“允许第三方Flash内容存储在你的计算机上”的选项。

　　这样的话，就可以避免Flash　cookies被安装到系统中。具有讽刺意味的是，我们必须在Flash网站完成这样的操作。

　　在测试中，研究人员采用的是谋智火狐浏览器。在报告中，他们提到了火狐的一个插件BetterPrivacy，可以在关闭的时间删除所有的flash　cookies。而另一个插件Ghostery可以对网络中的隐藏脚本进行跟踪，并发出警告。

　　结 论

　　我认为在互联网上被匿名追踪的时代已经过去了。如果这样的技术确实是无害的话，请加入是否同意的选择功能。