Gebruik https leidt tot bijna niet-uitwisbare cookie
Dat stelt Sam Greenhalgh, die zich verdiept heeft in de werking van de HTTP Strict Transport Security-functie. Websites kunnen die functie gebruiken om te adverteren dat ze altijd via https benaderd moeten worden, aldus Greenhalgh. Dat mechanisme kan door een kwaadwillende misbruikt worden om een uniek nummer op een pc te zetten waarmee de browseractiviteit gevolgd kan worden.
Shutterstock
Shutterstock
Een websurfer kan zich daar niet tegen wapenen door te kiezen voor de incognito- of privacy-modus van de browser. Browsers zien de vlag die via HTTP Strict Transport Security (HSTS) gezet wordt namelijk niet als een cookie, en behandelen die dus ook niet als zodanig.
Niet te wissen in Safari
Gebruikers van Chrome, Firefox en Opera kunnen zich in zoverre tegen dit gevaar wapenen dat de HSTS-vlaggen wel worden verwijderd bij het verwijderen van de cookies die opgeslagen zijn. Dat is niet altijd een gewenste methode, maar het kan wel. Bij Apples Safari bestaat er echter voor zover Greenhalgh weet geen mechanisme om de HSTS-vlaggen te verwijderen. Die vlaggen worden zelfs gesynchroniseerd via de iCloud-dienst, zodat ze bij iCloud-abonnees zelfs hersteld worden wanneer het apparaat geheel gewist wordt.
Wie Internet Explorer gebruikt, is wel veilig. Voorlopig althans. IE ondersteunt HSTS namelijk niet. Maar Microsoft werkt wel aan een implementatie ervan.
Gerelateerde artikelen
Gerelateerde artikelen
Reacties
Om een reactie achter te laten is een account vereist.
Inloggen Word abonnee