Jak zabránit sledování HSTS ve Firefoxu
- Kategorie: Firefox
Protokol HTTP Strict Transport Security (HSTS) byl navržen tak, aby pomáhal zabezpečeným webům (webům používajícím HTTPS) tím, že prohlásil webovým prohlížečům, že by měly komunikovat pouze se serverem HTTPS, aby chránily připojení před útoky downgrade a únosem souborů cookie.
Mozilla implementovala podporu pro HSTS ve své současné podobě v roce 2007 Firefox v roce 2014 a od té doby je aktivní ve všech verzích Firefoxu.
Ars Technica byli mezi prvními, kteří vznesli obavy týkající se implementace HSTS ve webových prohlížečích, protože provozovatelům stránek umožnili zasadit super prohlížeče do prohlížečů pomocí technologie, která byla navržena pro zvýšení bezpečnosti uživatelů.
NA demo stránky byl vytvořen Samem Greenhalghem, aby demonstroval tento koncept. Když navštívíte web v prohlížeči podporujícím HSTS, bude vám přiděleno jedinečné ID, které přetrvává ve všech relacích prohlížeče a může být díky němu sledováno.
Poznámka: Tento problém není omezen na webový prohlížeč Firefox, protože Google Chrome a další prohlížeče, které implementovaly tuto funkci, jsou také citlivé na sledování HSTS.
Jak v současné době Firefox zpracovává HSTS
Firefox ukládá informace HSTS do souboru SiteSecurityServiceState.txt, který najdete v kořenovém adresáři vaší složky profilu Firefox.
Nejjednodušší způsob, jak jej otevřít, je načíst: podpora v adresním řádku Firefoxu a po načtení klikněte na tlačítko „zobrazit složku“ na stránce. Otevře se ve výchozím prohlížeči systémových souborů profilová složka Firefoxu.
Když soubor otevřete v prostém textovém editoru, zobrazí se seznam názvů domén a hodnot s nimi spojených, včetně data vypršení platnosti.
Firefox zpracovává HSTS v režimu soukromého prohlížení a v běžném režimu prohlížení jinak.
- Pravidelný režim prohlížení: HSTS přetrvává během relací.
- Režim soukromého prohlížení: HSTS informace jsou po relaci odstraněny.
Upozorňujeme, že weby mají přístup k informacím HSTS vytvořeným během pravidelných relací procházení, když v této relaci vstoupíte do režimu soukromého prohlížení.
Ochrana proti sledování HSTS
Na rozdíl od cookies, HSTS nenabízí žádný přístup na bílou listinu ani na blacklist. Tato funkce je ve výchozím nastavení povolena a zdá se, že ji nelze deaktivovat.
I když by to byla možnost, mělo by to vliv na zabezpečení při procházení Internetu.
1. Používejte pouze režim soukromého prohlížení
Protože Firefox po ukončení soukromých relací prohlížení vymaže informace HSTS, je v současné době nejlepší volbou zabránit sledování supercookie bez ohrožení zabezpečení.
Chcete-li spustit Firefox v režimu soukromého prohlížení, použijte klávesovou zkratku Ctrl-Shift-P nebo stiskněte klávesu Alt a vyberte Soubor> Nové soukromé okno.
2. Na výstupu vymažte předvolby webu
Druhou možností, kterou máte, je vymazat předvolby webu při každém zavření prohlížeče Firefox. Tímto způsobem se zbaví všech informací HSTS uložených do souboru SiteSecurityServiceState.txt, ale ovlivní to další preference specifické pro konkrétní web, například oprávnění pro konkrétní web nebo úrovně přiblížení, když se operace také vymaže.
Poznámka: Toto funguje také v prohlížeči Google Chrome. Klepnutím na Ctrl-Shift-Del otevřete v prohlížeči dialogové okno s jasnými údaji o prohlížení. Ujistěte se, že je vybrána možnost „soubory cookie a další data stránek a doplňků“ a poté zasuňte jasná data prohlížení.
Tím odstraníte také soubory cookie a předvolby webu.
3. Odstraňte položky ze souboru HSTS ručně
Soubor HSTS je prostý textový dokument, což znamená, že s ním můžete snadno manipulovat s daty pomocí textových editorů.
Než to uděláte, ujistěte se, že je Firefox uzavřený, protože obsah bude při ukončení Firefoxu přepsán.
Tato metoda vám dává plnou kontrolu nad HSTS, ale vyžaduje manuální zásah pravidelně, a proto nemusí být vhodný.
Jednou z možností, kterou můžete mít, je ponechat vybrané weby a vytvořit soubor později jen pro čtení a blokovat tak nové položky.
Stále budete muset ručně upravovat ručně, protože informace HSTS mají datum vypršení platnosti.
4. Automaticky odeberte data souboru HSTS
Programy jako CCleaner podporují čištění HSTS Supercookies, ale můžete také spustit místní příkaz, například echo ''> /SiteSecurityServiceState.txt na soubor pravidelně odstranit. Pokud jej přidáte do dávkového souboru a spustíte jej při spuštění nebo vypnutí systému, neměli byste si dělat starosti s tím, že informace HSTS přetrvávají během relací.
5. Vytvořte soubor HSTS jen pro čtení
Tento radikální přístup blokuje Firefoxu v ukládání informací do souboru HSTS. I když to účinně brání sledování, znamená to, že prohlížeč nemůže využívat HSTS ke zlepšení zabezpečení.
Chcete-li v systému Windows provést pouze čtení, klepněte pravým tlačítkem myši na soubor a v místní nabídce vyberte vlastnosti. Vyhledejte na stránce vlastností políčko jen pro čtení a zaškrtněte jej. Poté klikněte na ok a použijte změnu. (Díky kalhoty)