Cybersec training

Co to są “ciasteczka”?

HTTP Cookie (ciasteczko) to niewielki fragment danych tekstowych wysyłany przez serwer WWW i przechowywany w przeglądarce internetowej użytkownika. Pełni rolę „pamięci” protokołu HTTP, który w swojej naturze jest bezstanowy (stateless).

Zasadniczo służą do zarządzania sesją (logowanie, koszyki zakupowe, wyniki gier, …) i do personalizacji (motywy graficzne, wybór języka, preferencje regionalne, …). Jednak mogą być użyte do tzw. śledzenia (Tracking), a więc analizy zachowań użytkownika, tworzenia statystyk odwiedzin, retargeting reklamowy, itp.

Czy warto usuwać ciasteczka?

Zarządzanie plikami cookie jest standardowym elementem konserwacji przeglądarki. Operacja ta jest możliwa do przeprowadzenia w każdym nowoczesnym programie, jednak niesie ze sobą określone skutki funkcjonalne.

Możliwości techniczne usuwania

Użytkownik ma do dyspozycji trzy główne poziomy interwencji: * Usuwanie selektywne: Kasowanie ciasteczek dla konkretnej, wybranej witryny. * Usuwanie masowe (historia): Czyszczenie całej bazy danych ciasteczek w określonym przedziale czasowym. * Automatyzacja: Konfiguracja przeglądarki w trybie „Incognito/Private” lub ustawienie opcji „Usuń ciasteczka przy zamknięciu przeglądarki”.

Analiza zasadności

Decyzja o usunięciu plików cookie powinna opierać się na bilansie wygody użytkowania oraz ochrony prywatności.

Argumenty za usuwaniem (Zalety): * Prywatność i Anty-tracking: Usunięcie ciasteczek third-party przerywa proces śledzenia użytkownika przez sieci reklamowe i utrudnia budowanie profilu behawioralnego. * Bezpieczeństwo: W przypadku korzystania z komputerów publicznych lub współdzielonych, usunięcie ciasteczek sesyjnych zapobiega nieautoryzowanemu dostępowi do kont (Session Hijacking). * Rozwiązywanie problemów technicznych: Często błędy w ładowaniu stron (np. błędy pętli przekierowań lub nieaktualne dane w formularzach) wynikają z uszkodzonych lub przedawnionych plików cookie.

Argumenty przeciw usuwaniu (Wady): * Utrata aktywnych sesji: Operacja ta powoduje natychmiastowe wylogowanie ze wszystkich serwisów (e-mail, media społecznościowe, bankowość), co wymusza ponowne uwierzytelnianie. * Reset preferencji: Witryny „zapominają” ustawienia użytkownika, takie jak tryb ciemny, preferencje językowe czy zawartość koszyka w sklepach internetowych (jeśli nie została zapisana na serwerze). * Wymóg ponownej akceptacji zgód (RODO): Po usunięciu ciasteczek, strony ponownie wyświetlą banery z prośbą o akceptację polityki prywatności.

Jak usunąć ciasteczka?

Konkretny mechanizm zależny jest do przeglądarki, ale w każdej popularnej przeglądarki znaleźć go można w podobnym miejscu. Poniżej kilka przykładów.

Google Chrome / Microsoft Edge (Silnik Chromium): w oknie “Wyczyść dane przeglądania” należy wybrać zakres czasowy (np. “Od początku”) i zaznaczyć pozycję “Pliki cookie i inne dane witryn”.

Mozilla Firefox: w ustawieniach należy przejść do sekcji “Prywatność i bezpieczeństwo”, odnaleźć podsekcję “Ciasteczka i dane witryn”, wybrać “Wyczyść dane” i zaznaczyć “Ciasteczka i dane witryn”.

Safari (macOS): w ustawieniach należy przejść do karty “Prywatność”, kliknąć “Zarządzaj danymi witryn”, wybrać “Usuń wszystko” lub wskazać konkretne witryny i wybrać “Usuń”.

Opera: w ustawieniach należy przejść do “Prywatność i bezpieczeństwo”, kliknąć “Wyczyść dane przeglądania”, zaznaczyć “Ciasteczka i inne dane witryn” i potwierdzić przyciskiem “Wyczyść dane”.

Jak można automatyzować usuwanie ciasteczek?

addons cookies

Spośród wielu narzędzi można wskazać np. Cookie AutoDelete. Jest to otwartoźródłowe rozszerzenie do zarządzania cyklem życia plików cookie oraz innych danych lokalnych przechowywanych przez przeglądarkę (np. Local Storage, IndexedDB). W przeciwieństwie do standardowych mechanizmów przeglądarki automatyzuje ono proces czyszczenia danych w oparciu o zdarzenie zamknięcia karty.

Głównym zadaniem rozszerzenia jest implementacja strategii “Temporary by Default” (domyślnie tymczasowe), która zakłada, że każde ciasteczko jest niepożądane, chyba że zostanie jawnie zatwierdzone przez użytkownika. Rozszerzenie monitoruje stan kart. Po zamknięciu ostatniej karty powiązanej z daną domeną rozszerzenie inicjuje procedurę usuwania danych tej domeny po upływie zdefiniowanego czasu (domyślnie kilka sekund/minut).

Dlaczego warto używać rozszerzeń, które mają otwarte źródła?

Wykorzystanie oprogramowania o otwartym kodzie źródłowym (open source) w roli rozszerzeń przeglądarkowych ma kluczowe znaczenie ze względu na wysokie uprawnienia, jakich wymagają rozszerzenia (często obejmujące odczyt i modyfikację wszystkich danych na odwiedzanych witrynach). Model otwarty stanowi więc niezbędny mechanizm kontrolny w kilku istotnych aspektach.

Weryfikowalność i bezpieczeństwo (Audytowalność)

W modelu zamkniętym (Proprietary) kod wykonywalny jest “czarną skrzynką”. Użytkownik nie ma możliwości technicznej weryfikacji, czy rozszerzenie nie wykonuje operacji nadmiarowych.

Publiczne repozytoria (np. GitHub, GitLab) pozwalają ekspertom na analizę kodu pod kątem luk bezpieczeństwa oraz złośliwych funkcji (np. keyloggerów przechwytujących hasła).

Można precyzyjnie sprawdzić, dlaczego rozszerzenie żąda określonych uprawnień i w jaki sposób je wykorzystuje.

Eliminacja ukrytej telemetrii i monetyzacji danych

Rozszerzenia przeglądarkowe są atrakcyjnym celem dla firm agregujących dane (Data Brokers).

W projektach otwartoźródłowych trudne jest ukrycie skryptów wysyłających historię przeglądania na serwery zewnętrzne. (W atrakcyjnych gdyż darmowych, zamkniętych rozszerzeniach łatwo to zrobić).

W projektach otwartoźródłowych nie ma ryzyka, że popularne rozszerzenie zostanie sprzedane podmiotowi trzeciemu, który wprowadzi funkcje śledzące; społeczność natychmiast wykryje zmiany w kodzie i poinformuje użytkowników (i zapewne utworzy bezpieczny fork).

Community Review

„Przy dostatecznej liczbie oczu wszystkie błędy są niegroźne”.

Poprawki błędów (patches) są często zgłaszane przez niezależnych programistów przed oficjalną reakcją autorów. Przy braku wynagrodzenia za wysiłek chętniej pomaga się społeczności niż firmie.

Mamy też ciągłość rozwoju, gdyż nawet jeśli główny deweloper porzuci projekt, otwarta licencja pozwala innym na kontynuowanie prac.

Aspekt etyczny i brak konfliktów interesów

Wiele rozszerzeń blokujących treści reklamowe o otwartym źródle (np. uBlock Origin) prowadzonych jest jako projekty non-profit.

Brak konieczności generowania zysku eliminuje pokusę wprowadzania “białych list” dla płacących korporacji reklamowych. Użytkownik może potwierdzić, że deklaracje autora (a więc producenta) dotyczące prywatności mają odzwierciedlenie w implementacji.