सुपरकुकीज़, ज़ोंबी कुकीज़ और एवरकुकीज़ क्या हैं, और क्या वे खतरा हैं?

एक नाक पड़ोसी द्वारा आपकी गुप्त रेसिपी ढूंढना कुकीज़ से जुड़ा सबसे बड़ा गोपनीयता मुद्दा हुआ करता था, लेकिन इंटरनेट की बदौलत यह बदल गया है। जबकि सामान्य ब्राउज़र कुकीज़ अक्सर सहायक होती हैं और साफ़ करना आसान होता है, अन्य वेरिएंट हैं जो आसपास रहने और आप पर नज़र रखने के लिए बनाए गए हैं। इन दो प्रकारों, सुपरकुकीज़ और ज़ोंबी कुकीज़ (अक्सर "एवरकुकीज़" के रूप में जाना जाता है), से छुटकारा पाना विशेष रूप से कठिन हो सकता है। सौभाग्य से, वे किसी का ध्यान नहीं गए हैं, और ब्राउज़र इन चालाक ट्रैकिंग तकनीकों का मुकाबला करने के लिए विकसित हो रहे हैं।

सुपरकुकीज़

यह शब्द थोड़ा भ्रमित करने वाला हो सकता है क्योंकि इसका उपयोग कई अलग-अलग तकनीकों का वर्णन करने के लिए किया गया है, जिनमें से केवल कुछ वास्तव में कुकीज़ हैं। सामान्य तौर पर, हालांकि, यह किसी भी चीज़ को संदर्भित करता है जो आपको एक विशिष्ट ID देने के लिए आपके ब्राउज़िंग प्रोफाइल को बदलता है। इस तरह वे कुकीज़ के समान कार्य करते हैं, जिससे साइट्स और विज्ञापनदाता आपको ट्रैक कर सकते हैं, लेकिन कुकीज़ के विपरीत, उन्हें वास्तव में हटाया नहीं जा सकता।

आप अक्सर "सुपरकुकी" शब्द को यूनिक आइडेंटिफायर हेडर्स (UIDH) के संदर्भ में सुनेंगे और HTTP स्ट्रिक्ट ट्रांसपोर्ट सिक्योरिटी, या HSTS में एक भेद्यता के रूप में, हालांकि मूल शब्द टॉप-लेवल डोमेन से उत्पन्न होने वाली कुकीज़ को संदर्भित करता है। इसका मतलब है कि ".com" या ".co.uk" जैसे डोमेन के लिए एक कुकी सेट की जा सकती है, जिससे उस डोमेन सफिक्स वाली कोई भी वेबसाइट इसे देख सकती है।

यदि Google.com एक सुपरकुकी सेट करता है, तो वह कुकी किसी भी अन्य ".com" वेबसाइट को दिखाई देगी। यह एक स्पष्ट गोपनीयता मुद्दा है, लेकिन चूंकि यह अन्यथा एक पारंपरिक कुकी है, लगभग सभी आधुनिक ब्राउज़र डिफ़ॉल्ट रूप से उन्हें ब्लॉक करते हैं। चूंकि कोई इस प्रकार की सुपरकुकी के बारे में ज्यादा बात नहीं करता, आप आमतौर पर अन्य दो के बारे में अधिक सुनेंगे।

यूनिक आइडेंटिफायर हेडर (UIDH)

एक यूनिक आइडेंटिफायर हेडर आपके कंप्यूटर पर बिल्कुल नहीं है - यह आपके ISP और वेबसाइट के सर्वर के बीच होता है। यहां बताया गया है कि कैसे:

1. आप अपने ISP को एक वेबसाइट के लिए अनुरोध भेजते हैं।
2. आपके ISP द्वारा अनुरोध को सर्वर पर अग्रेषित करने से पहले, यह आपके अनुरोध के हेडर में एक यूनिक आइडेंटिफायर स्ट्रिंग जोड़ता है।
3. यह स्ट्रिंग साइट्स को आपको वही उपयोगकर्ता के रूप में पहचानने की अनुमति देती है जब भी आप आते हैं, भले ही आपने उनकी कुकीज़ हटा दी हों। एक बार जब वे जान जाते हैं कि आप कौन हैं, तो वे बस वही कुकीज़ सीधे आपके ब्राउज़र में वापस डाल सकते हैं।

सरल शब्दों में, यदि कोई ISP UIDH ट्रैकिंग का उपयोग कर रहा है, तो यह आपके व्यक्तिगत हस्ताक्षर को आपके द्वारा देखी जाने वाली हर वेबसाइट (या जिन्होंने इसके लिए ISP को भुगतान किया है) को भेज रहा है। यह ज्यादातर विज्ञापन राजस्व को अनुकूलित करने के लिए उपयोगी है, लेकिन यह इतना आक्रामक है कि FCC ने Verizon पर 1.35 मिलियन USD का जुर्माना लगाया क्योंकि उन्होंने अपने ग्राहकों को इसके बारे में सूचित नहीं किया या उन्हें ऑप्ट आउट करने का विकल्प नहीं दिया।

Verizon के अलावा, इस बारे में ज्यादा डेटा नहीं है कि कौन सी कंपनियां UIDH जानकारी का उपयोग कर रही हैं, लेकिन उपभोक्ता प्रतिक्रिया ने इसे एक काफी अलोकप्रिय रणनीति बना दिया है। इससे भी बेहतर, यह केवल अनएन्क्रिप्टेड HTTP कनेक्शन पर काम करता है, और चूंकि अधिकांश वेबसाइट अब डिफ़ॉल्ट रूप से HTTPS का उपयोग करती हैं और आप आसानी से HTTPS Everywhere जैसे एक्सटेंशन डाउनलोड कर सकते हैं, यह सुपरकुकी वास्तव में अब ज्यादा समस्या नहीं है और शायद व्यापक रूप से उपयोग नहीं की जा रही है। यदि आप अतिरिक्त सुरक्षा चाहते हैं, तो VPN का उपयोग करें। यह गारंटी देता है कि आपका अनुरोध आपके UIDH के बिना वेबसाइट पर रिले किया जाएगा।

HTTPS स्ट्रिक्ट ट्रांसफर सिक्योरिटी (HSTS)

यह एक दुर्लभ प्रकार की सुपरकुकी है जिसे किसी विशेष साइट पर विशेष रूप से पहचाना नहीं गया है, लेकिन जाहिर तौर पर इसका शोषण किया जा रहा था, क्योंकि Apple ने इसके खिलाफ Safari को पैच किया, हमले के पुष्ट उदाहरणों का हवाला देते हुए।

HSTS वास्तव में एक अच्छी चीज है। यह आपके ब्राउज़र को असुरक्षित HTTP संस्करण के बजाय किसी साइट के HTTPS संस्करण पर सुरक्षित रूप से रीडायरेक्ट करने देता है। दुर्भाग्य से, इसका उपयोग निम्नलिखित नुस्खा के साथ एक सुपरकुकी बनाने के लिए भी किया जा सकता है:

1. बहुत सारे सबडोमेन बनाएं (जैसे "domain.com," "subdomain2.domain.com," आदि)।
2. अपने मुख्य पेज पर आने वाले प्रत्येक विज़िटर को एक रैंडम नंबर असाइन करें।
3. उपयोगकर्ताओं को अपने सभी सबडोमेन लोड करने के लिए मजबूर करें या तो उन्हें पेज पर अदृश्य पिक्सेल में जोड़कर या पेज लोड करते समय प्रत्येक सबडोमेन के माध्यम से उपयोगकर्ता को रीडायरेक्ट करके।
4. कुछ सबडोमेन के लिए, उपयोगकर्ता के ब्राउज़र को HSTS का उपयोग करके सुरक्षित संस्करण पर स्विच करने के लिए कहें। दूसरों के लिए, डोमेन को असुरक्षित HTTP के रूप में छोड़ दें।
5. यदि किसी सबडोमेन की HSTS नीति चालू है, तो यह "1" के रूप में गिना जाता है। यदि यह बंद है, तो यह "0" के रूप में गिना जाता है। इस रणनीति का उपयोग करके, साइट उपयोगकर्ता के रैंडम ID नंबर को ब्राउज़र की HSTS सेटिंग्स में बाइनरी में लिख सकती है।
6. हर बार जब विज़िटर लौटता है, तो साइट उपयोगकर्ता के ब्राउज़र की HSTS नीतियों की जांच करेगी, जो मूल रूप से उत्पन्न वही बाइनरी नंबर लौटाएगी, जिससे उपयोगकर्ता की पहचान होगी।

यह जटिल लगता है, लेकिन इसका सार यह है कि वेबसाइट्स आपके ब्राउज़र को कई पेजों के लिए सुरक्षा सेटिंग्स उत्पन्न करने और याद रखने के लिए प्राप्त कर सकती हैं, और अगली बार जब आप आते हैं, तो यह बता सकता है कि आप कौन हैं क्योंकि किसी और के पास सेटिंग्स का वह सटीक संयोजन नहीं है।

Apple ने पहले ही इस समस्या के समाधान के साथ आ गए हैं, जैसे केवल प्रति साइट एक या दो मुख्य डोमेन नामों के लिए HSTS सेटिंग्स सेट करने की अनुमति देना और उन चेन रीडायरेक्ट की संख्या को सीमित करना जिन्हें साइट्स को उपयोग करने की अनुमति है। अन्य ब्राउज़र इन सुरक्षा उपायों का पालन करने की संभावना रखते हैं (Firefox इनकॉग्निटो मोड मदद करता प्रतीत होता है), लेकिन चूंकि इसके होने के कोई पुष्ट मामले नहीं हैं, यह अधिकांश के लिए सर्वोच्च प्राथमिकता नहीं है। आप कुछ सेटिंग्स में खुदाई करके और मैन्युअल रूप से HSTS नीतियों को साफ़ करके मामलों को अपने हाथों में ले सकते हैं, लेकिन यह लगभग यही है।

ज़ोंबी कुकीज़/एवरकुकीज़

ज़ोंबी कुकीज़ वही हैं जो वे लगती हैं - कुकीज़ जो आपके द्वारा उन्हें चले गए सोचने के बाद वापस जीवन में आती हैं। आपने उन्हें "एवरकुकीज़" के रूप में संदर्भित देखा होगा, जो दुर्भाग्य से वोंका एवरलास्टिंग गॉबस्टॉपर के कुकी समकक्ष नहीं हैं। "एवरकुकी" वास्तव में एक जावास्क्रिप्ट API है जिसे यह दिखाने के लिए बनाया गया है कि कुकीज़ आपके विलोपन प्रयासों को कितने अलग-अलग तरीकों से चकमा दे सकती हैं।

ज़ोंबी कुकीज़ साफ़ नहीं होतीं क्योंकि वे आपके नियमित कुकी स्टोरेज के बाहर छिपी होती हैं। लोकल स्टोरेज एक प्रमुख लक्ष्य है (Adobe Flash और Microsoft Silverlight इसका बहुत उपयोग करते हैं), और कुछ HTML5 स्टोरेज भी एक मुद्दा हो सकते हैं। लिविंग डेड कुकीज़ आपके वेब इतिहास में या RGB कलर कोड में भी हो सकती हैं जिन्हें आपका ब्राउज़र अपने कैश में अनुमति देता है। एक वेबसाइट को बस छिपी हुई कुकीज़ में से एक को ढूंढना होता है और यह दूसरों को पुनर्जीवित कर सकती है।

इन सुरक्षा छेदों में से कई गायब हो रहे हैं, हालांकि। Flash और Silverlight आधुनिक वेब डिज़ाइन का बड़ा हिस्सा नहीं हैं, और कई ब्राउज़र अब अन्य एवरकुकी छिपने के स्थानों के लिए विशेष रूप से कमजोर नहीं हैं। चूंकि इन कुकीज़ के आपकी प्रणाली में घुसने के कई अलग-अलग तरीके हैं, हालांकि, खुद को बचाने का कोई एकल तरीका नहीं है। गोपनीयता एक्सटेंशन का एक अच्छा सूट और अच्छी ब्राउज़र-सफाई आदतें कभी भी बुरा विचार नहीं हैं, हालांकि!

रुको, क्या हम सुरक्षित हैं या नहीं?

ऑनलाइन ट्रैकिंग तकनीक शीर्ष पर पहुंचने की एक निरंतर दौड़ है, इसलिए यदि गोपनीयता कुछ ऐसा है जो आपको चिंतित करता है, तो आपको शायद इस विचार की आदत डाल लेनी चाहिए कि हमें ऑनलाइन 100% गुमनामी की गारंटी कभी नहीं दी जाती।

आपको शायद सुपरकुकीज़ के बारे में बहुत ज्यादा चिंता करने की ज़रूरत नहीं है, क्योंकि वे जंगल में बहुत कम देखी जाती हैं और तेजी से ब्लॉक की जा रही हैं। दूसरी ओर, ज़ोंबी कुकीज़/एवरकुकीज़ से छुटकारा पाना कठिन है। उनके अधिक प्रसिद्ध रास्ते बंद कर दिए गए हैं, लेकिन वे संभावित रूप से तब तक काम कर सकते हैं जब तक हर एक भेद्यता पैच नहीं हो जाती, और वे हमेशा नई तकनीकों के साथ आ सकते हैं।