https://bit.ly/38DvCG3 防不勝防？AdGuard公開逾6,000款秘密追蹤器 AdGuard公布濫用CNAME（Canonical Name）紀錄的第三方追蹤伺服器名單，讓其它封鎖程式 得以把數千款秘密追蹤器列入過濾名單中 文/陳曉莉 | 2021-03-08發表 https://cdn.adguard.com/public/Adguard/Blog/cname_browser.jpg https://cdn.adguard.com/public/Adguard/Blog/cname_cookies.jpg AdGuard表示，瀏覽器無法偵測到濫用CNAME（Canonical Name）紀錄的秘密追蹤器，使得許 多第三方追蹤伺服器可取得第一方網站才能獲得的使用者Cookie，從使用者名稱、聯絡資料 到使用期間認證Cookie等。（圖片來源／AdGuard） 專門開發廣告封鎖與隱私保護機制的AdGuard，日前藉由GitHub釋出[1]逾6,000款秘密追蹤 器的名單，開放第三方利用該名單來阻止那些濫用CNAME（Canonical Name）紀錄的秘密追 蹤器，同時宣稱市場上超過9成的瀏覽器用戶，都受到這些秘密追蹤器的跟蹤。 CNAME為網域名稱系統中的資源紀錄，用來將網域名稱的別名映射至標準名稱，最常被應用 在有多種服務的網站，例如它會把ftp.example.com與blog.example.com等子網域都指向exa mple.com，一旦變更了IP位址，只要更改example.com的IP即可，此外，CNAME紀錄只會指向 網域名稱，而非IP位址，該特性造就了AdGuard所描述的秘密追蹤器。 AdGuard說明[2]，為了創造無縫的互動能力，瀏覽器信任子網域就像信任主要網域一樣，然 而，有些第三方的追蹤伺服器卻偽裝成可靠網站的子網域，在取得使用者的Cookie上，扮演 與主要網域同樣的角色，瀏覽器無法偵測這些濫用CNAME紀錄的追蹤伺服器，使得第三方追 蹤伺服器可取得第一方網站才能獲得的使用者Cookie，從使用者名稱、聯絡資料到使用期間 認證Cookie等。 一群研究人員也在今年2月出版了一份相關的研究報告，名為「大規模分析基於DNS的追蹤逃 避」（Large-scale Analysis of DNS-based Tracking Evasion）[3]，指出有多達95%的網 站都部署了這類的追蹤器而外洩用戶Cookie。 AdGuard表示，瀏覽器本身無從避免CNAME偽裝追蹤，但內容封鎖器卻可以，不管是AdGuard 、AdGuard DNS或是Firefox上的擴充程式uBO，都能封鎖這類的秘密追蹤器，然而，由於Chr ome、Chromium與Safari等瀏覽器的限制，一般的擴充程式無法動態解析主機名稱並刪除追 蹤器，它們被侷限在過濾名單上，也難以想像有人會掃描整個網站以找出以CNAME遮掩的追 蹤器。 於是，AdGuard提供了含有逾6,000個秘密追蹤器的列表，供其它第三方封鎖程式得以將它們 嵌入過濾名單中，也承諾未來將會持續更新該名單。 即便如此，由於Safari與Chrome瀏覽器在封鎖規則數量上，各有5萬及15萬的限制，AdGuard 認為，這些數量的限制遲早會不敷使用，而且可能會比想像中更早到來。 參考資料： [1] https://github.com/AdguardTeam/cname-trackers [2] https://adguard.com/en/blog/cname-tracking.html [3] https://arxiv.org/abs/2102.09301 懶人包： 1. 許多網頁追蹤代碼想要規避瀏覽器的限制來取得Cookie，藉此追蹤使用者的足跡。 2. 透過網站DNS的幫忙，真正提供追蹤服務的網站可以偽裝成一般網站的子網域，以此騙取 瀏覽器信任，存取cookie。 3. 瀏覽器會信任這種情況，是因為一般網站的cookie讓子網域取得對使用者比較方便。例 如你在google.com登入過後，登入的cookie能被drive.google.com讀取到，使用者就不用再 登入一次。 4. Chromium系的附加元件擋不住，偉哉Google，ㄏㄏ 5. Firefox的附加元件就擋得住。雖然Firefox越改越爛== --

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.71.107.82 (臺灣) ※ 文章網址: https://webptt.com/m.aspx?n=bbs/Browsers/M.1615231498.A.EB3.html