抵制跨站点隐私追踪库 supercookie

最近 GitHub 出现了一个新的项目，https://github.com/jonasstrehle/supercookie 。
根据作者的介绍，Supercookie 使用了 favicon 的一个 bug，可以生成一个对于浏览器的唯一 ID 。它不会根据你的网络环境而改变。甚至你开启了隐私模式，刷新缓存，重启操作系统也是无效的。
原理： https://supercookie.me/workwise#content-threat-model
当你的浏览器请求 favicon （即网站小图标）的时候，会尝试从本地的 F-Cache 读取，若本地没有存储则会向服务器请求。在对网站的多次访问中通过对 favicon 请求的解析就可以构建一个唯一的 ID 。因为 F-Cache 中包含了足以实现唯一性的信息。

你可以在 https://demo.supercookie.me 尝试 demo，若你的浏览器几次生成的 ID 一致，则你的浏览器中招了。

影响：这个方法大大威胁了我们的隐私安全，普通用户根本不知道 F-Cache 的管理，一般的缓存清理方法也没有效果。这可能导致互联网对你用户信息的全方位统计和挂钩，任何一个小网站都可以通过这种方式来定位某一个人在该网站或者跨网站的任何资料。这对于公民隐私权是一个极大的威胁。也就是说，我们直接暴露于了老大哥。
然而作者和某些使用者毫无惭愧之意，叫嚣着“SPREAD TO WORLD”和技术无罪论。我在 issue 上面对他们进行了批评，然而却被倒打一耙挂了起来。参见
https://github.com/jonasstrehle/supercookie/issues/10

我认为，这属于妥妥的技术作恶，虽然我们知道大型互联网公司有多种手段通过账号信息大数据分析我们的隐私，但大型互联网公司有政府机构监管，而这种恶意 bug 的滥用将会使我们的隐私权受到极大的侵犯，无论在哪个法制健全的国家这都是不能容忍的。

你们对这种技术作恶的 repo 有什么看法？如何看待这种 repo ？下一步应该怎么处理？

知乎讨论同步： http://www.zhihu.com/question/447111920?utm_source=qq&utm_medium=social

abersheeran

2021-03-02 09:40:36 +08:00

“我发现了一个漏洞可以持续的追踪用户足迹，它……”
“你是谁？你发这些是受谁指使的？你知道不知道发出来有多少人的隐私安全会受到威胁？”

v2ex 上天天有人骂某些机构尸位素餐，怎么，换到自己身上也这个腔调了？互联网基础设施上不知道有多少地方有漏洞，互联网头部公司、美国国家安全局用自己发现的漏洞干事不知道多少年了。现在有一个人公开了一个小东西，你在这抵制？抵制个鬼啊，不如多发几封邮件让苹果、微软、谷歌的人去完善浏览器。