Kaip išvengti HSTS stebėjimo „Firefox“
- Kategorija: „Firefox“
HTTP griežta transporto sauga (HSTS) buvo sukurta siekiant padėti saugioms svetainėms (toms, kurios naudoja HTTPS) skelbdamos interneto naršyklėms, kad jos turėtų bendrauti tik per HTTPS su serveriu, kad apsaugotų ryšius nuo ankstesnio lygio atakų ir slapukų užgrobimo.
'Mozilla' įgyvendino dabartinės formos HSTS palaikymą 2006 m „Firefox“ 2014 m ir nuo to laiko buvo aktyvus visose „Firefox“ versijose.
„Ars Technica“ buvo vieni pirmųjų, kurie iškėlė susirūpinimą dėl HSTS diegimo interneto naršyklėse, nes tai leido svetainių operatoriams naršyklėse pasodinti superkeptuvių, naudojant technologiją, skirtą pagerinti vartotojų saugumą.
Į demonstracinė svetainė buvo sukurtas Sam Greenhalgh, kad pademonstruotų koncepciją. Kai lankotės svetainėje naršyklėje, palaikančioje HSTS, jums priskiriamas unikalus ID, kuris išlieka visose naršyklės sesijose ir gali būti naudojamas dėl jūsų sekimui.
Pastaba: ši problema neapsiriboja „Firefox“ žiniatinklio naršykle, nes „Google Chrome“ ir kitoms naršyklėms, įdiegusioms šią funkciją, taip pat yra pažeidžiamas HSTS stebėjimas.
Kaip HSTS šiuo metu tvarko „Firefox“
„Firefox“ išsaugo HSTS informaciją faile „SiteSecurityServiceState.txt“, kurį rasite „Firefox“ profilio aplanko šaknyje.
Paprasčiausias būdas jį atidaryti yra įkelti apie: palaikymą „Firefox“ adreso juostoje ir paspaudus mygtuką „parodyti aplanką“ puslapyje, kai jis bus įkeltas. Tai atidaro „Firefox“ profilio aplanką numatytojoje sistemos failų naršyklėje.
Atidarę failą paprasto teksto rengyklėje gausite domenų vardų ir su jais susijusių reikšmių sąrašą su galiojimo data.
„Firefox“ skirtingai tvarko HSTS asmeninio naršymo režimu ir įprastą naršymo režimą.
- Įprastas naršymo režimas: HSTS išlieka visose sesijose.
- Privatus naršymo režimas: HSTS informacija ištrinama po seanso.
Atminkite, kad svetainės gali pasiekti HSTS informaciją, sukurtą įprastų naršymo sesijų metu, kai toje sesijoje įeinate į asmeninio naršymo režimą.
Apsauga nuo HSTS sekimo
Skirtingai nuo slapukų, HSTS nesiūlo jokio baltojo sąrašo ar juodojo sąrašo metodo. Ši funkcija įjungta pagal numatytuosius nustatymus ir, atrodo, nėra jokios galimybės ją išjungti.
Net jei būtų galimybė tai padaryti, tai paveiktų saugumą naršant internete.
1. Naudokite tik asmeninio naršymo režimą
Kadangi „Firefox“ išvalo HSTS informaciją po to, kai uždarote asmeninius naršymo seansus, šiuo metu tai yra geriausia galimybė užkirsti kelią supercookie stebėjimui nepakenkiant saugumui.
Norėdami paleisti „Firefox“ asmeninio naršymo režimu, naudokite klavišą „Ctrl-Shift-P“ arba paspauskite klavišą „Alt“ ir pasirinkite Failas> Naujas privatus langas.
2. Išvykdami išvalykite svetainės parinktis
Antrasis variantas, kurį turite, yra išvalyti svetainių nuostatas, kai uždarote „Firefox“ naršyklę. Taip atsikratoma visos HSTS informacijos, išsaugotos faile „SiteSecurityServiceState.txt“, tačiau tai daro įtaką kitoms svetainės nuostatoms, tokioms kaip konkrečios svetainės leidimai ar mastelio keitimo lygiai, kai operacija juos taip pat panaikina.
Pastaba: tai veikia ir „Google Chrome“. Bakstelėkite Ctrl-Shift-Del, kad naršyklėje atidarytumėte aiškų naršymo duomenų dialogą. Įsitikinkite, kad pasirinktas „slapukai ir kiti svetainės bei papildinių duomenys“, ir paspauskite švarius naršymo duomenis.
Tai taip pat pašalins slapukus ir svetainės nuostatas.
3. Pašalinkite įrašus iš HSTS failo rankiniu būdu
HSTS failas yra paprasto teksto dokumentas, kuris reiškia, kad naudodamiesi teksto redaktoriais galite lengvai manipuliuoti jame esančiais duomenimis.
Prieš tai darydami įsitikinkite, kad „Firefox“ uždarytas, nes nutraukus „Firefox“ turinys bus perrašytas.
Šis metodas suteikia jums visišką HSTS valdymą, tačiau tam reikia reguliariai atlikti rankinį įsikišimą, todėl jis gali būti netinkamas.
Viena iš galimybių, kurios jums gali tekti, yra palikti pasirinktas svetaines ir padaryti failą tik skaitomą, kad būtų užblokuoti nauji įrašai.
Vis tiek turėsite reguliariai jį redaguoti rankiniu būdu, nes HSTS informacijos galiojimo laikas baigiasi.
4. Automatiškai pašalinkite HSTS failo duomenis
Tokios programos kaip „CCleaner“ palaiko „HSTS Supercookies“ valymą, tačiau taip pat galite paleisti vietinę komandą, pvz., echo ''> /SiteSecurityServiceState.txt reguliariai faile, kad jį pašalintumėte. Jei pridėsite jį prie paketo failo ir paleisite jį paleisdami ar išjungdami sistemą, neturėtumėte jaudintis dėl HSTS informacijos, esančios visuose seansuose.
5. Padarykite HSTS failą tik skaitomą
Šis radikalus požiūris neleidžia „Firefox“ išsaugoti informacijos HSTS faile. Nors tai yra veiksminga priemonė užkertant kelią stebėjimui, tai reiškia, kad naršyklė negali naudoti HSTS, kad pagerintų saugumą.
Norėdami, kad jis būtų tik skaitomas „Windows“, dešiniuoju pelės mygtuku spustelėkite failą ir kontekstiniame meniu pasirinkite ypatybes. Savybių puslapyje raskite tik skaitomą langelį ir pažymėkite. Po to spustelėkite Gerai, kad pritaikytumėte pakeitimą. (Ačiū kelnės)