Den Eviga Kakan

14:5512november2010

Samy Kamkar publicerade nyligen något som tar annonsföretagens spårande och profilbyggande av internetanvändare till en helt ny nivå.

Att alla internetanvändare de senaste åren blivit spårade och registrerade på nätet av annonsföretag har nog knappast undgått någon. Tredjepartskakor har gjort det möjligt för en annons att spara en kaka i en webbläsare som sedan läses av en annan annons från samma annonsföretag på en helt annan webbplats. Detta har lett till en hel industri som handlar med uppgifter om personliga trafikdata som utförligt beskriver våra surfvanor och kopplar dem till våra datorer.

För att komplettera tredjepartskakor så har annonsföretagen även använt sig av Local Shared Objects (Flash kakor) och Silverlight Local Storage för att kunna spåra även de som emellanåt tömmer sina tredjepartskakor eller de som har stängt av dem helt.

Annonsindustrin vidareutvecklade sina system för spårning till något som går bortom cookies och som bygger profiler baserat på webbläsare, plugins, operativsystem, skärmupplösning och mycket mer. Naturligtvis så kunde man som användare även undvika denna spårning genom att ändra skärmupplösning och byta browser samtidigt som man rensade sina kakor men det har med åren blivit svårare och svårare att inte lämna fot och fingeravtryck vart man än går på nätet.

Nu har Samy Kamkar publicerat ett JavaScript API som verkligen gör det svårt att undvika spårning för alla utom de mest avancerade användarna. Samy har skapat "Evercookie" eller "Evigkaka" (direkt översättning). Samy sparar ett unikt ID som sedan används för att spara användardata. ID't sparas i olika former på följande sätt:

• Standard HTTP kakor
• Local Share Objects
• Silverlight Isolated Storage
• Kakor sparade som RGB värden i en tvångscachad PNG-fil där Canvas taggen i HTML5 används för att läsa dess pixelvärden
• Kakor sparade i webbhistoriken
• Kakor sparade i HTTP ETags
• Kakor sparade i Web Cache
• Kakor sparade i window.name (JavaScript syntax för namnet på ett fönster)
• Kakor sparade i Internet Explorer userData
• HTML5 Session Storage
• HTML5 Local Storage
• HTML5 Global Storage
• HTML5 Database Storage

Det räcker med att en enda av dessa kakor överlever för att återställa alla de andra. Om ni vill läsa mer så gå till Samys egen webbplats där han även har en demo där du själv kan sätta en Evercookie i din webbläsare och försöka bli av med den.

Även Steve Gibson har gjort en djupanalys i sin podcast SecurityNow! där han går igenom alla funktioner och förklarar hur den Eviga Kakan fungerar, lyssna på Episode No.270.