Czy Safari w systemie OS X Mavericks ignoruje Preferencje historii przeglądania?

0

Bardziej szczegółowo o tym napisałem na blogu pod adresem https://browserprivacy.wordpress.com/2013/10/26/does-safari-on-os-x-mavericks-ignore-browsing-history-preferences/

ale ten fragment stanowi sedno mojego pytania:

Aby sprawdzić, czy Safari faktycznie usunęło moje pliki cookie, jak sugeruje GUI, czasami sprawdzam folder ~ / Library / Cookies, w którym Safari i inne aplikacje przechowują pliki cookie w plikach o nazwach takich jak com.apple.appstore.cookies, Cookies.binarycookies i plik, którego nigdy wcześniej nie widziałem, o nazwie HSTS.plist. Szybkie wyszukiwanie w Google ujawniło bardzo niewiele odnoszących się do tego konkretnego pliku HSTS.plist, ale HSTS może oznaczać HTTP Strict Transport Security, standard internetowy, który pozwala serwerom sieciowym wymuszać na przeglądarkach interakcję z nim za pomocą tylko połączeń HTTPS. Byłem zaskoczony, widząc moją poprzednią (jak w poprzednich wersjach) historię przeglądania składającą się z ponad 100 witryn, które odwiedziłem w ciągu ostatnich kilku miesięcy, wymienionych w tym pliku ~ / Library / Cookies / HSTS.plist.



Struktura HSTS.plist

Otwarcie mojego pliku ~ / Library / Cookies / HSTS.plist w TextWrangler ujawniło następującą strukturę:

<?xml version=”1.0″ encoding=”UTF-8″?>
<!DOCTYPE plist PUBLIC “-//Apple//DTD PLIST 1.0//EN” “http://www.apple.com/DTDs/PropertyList-1.0.dtd”&gt;
<plist version=”1.0″>
<dict>
<key>com.apple.CFNetwork.defaultStorageSession</key>
<dict>
<key>HSTS Content Version</key>
<integer>1</integer>
<key>HSTS Store Schema Version</key>
<integer>2</integer>
<key>accounts.google.com</key>
<real>-infinity</real>

 <… and so on, with “real” values of either infinity or -infinity ..>

</dict>
<key>hstsd Disk Storage Schema Version</key>
<integer>1</integer>
</dict>
</plist>

Być może, co dziwne, nie znalazłem również wyników wyszukiwania, gdy szukałem w Google „hstsd Disk Storage Schema Version”.

Ten plik ~ / Library / Cookies / HSTS.plist zawierał historię przeglądania, której najwyraźniej nie miałem możliwości trwale usunąć, i która mogłaby zostać potencjalnie wykorzystana jako odcisk palca do śledzenia (jeśli jest dostępny poprzez WebKit) przez Apple lub inne. Inną rzeczą, która mnie zadziwiła, było to, że plik ten przetrwał w tym sensie, że plik HSTS.plist i jego oryginalna zawartość zostały zastąpione w ciągu kilku minut - być może poprzez synchronizację iCloud… mimo że ten komputer nie ma włączonej usługi iCloud ani „kont internetowych” - nawet po wielu iteracjach wyłączania wszystkich wtyczek, „Resetuj Safari ..”, włączania i wyłączania „Prywatnego przeglądania” oraz ponownego uruchamiania komputera i wszystkich następujących czynności:

  • Zamykanie Safari i innych aplikacji, usuwanie pliku HSTS.plist, restartowanie
  • Zamykanie Safari i innych aplikacji, usuwanie ponownie odrodzonego pliku HSTS.plist, zapisywanie pustego pliku tekstowego w ~ / Library / Cookies / HSTS.plist, nadawanie uprawnień tylko do odczytu i właścicielowi, a następnie restartowanie
  • Logowanie się za pomocą konta innego użytkownika (z uprawnieniami administratora), usuwanie pliku HSTS.plist i restartowanie
  • Logowanie się za pomocą konta innego użytkownika (z uprawnieniami administratora), usuwanie pliku HSTS.plist, zapisywanie pustego pliku o tej samej nazwie w lokalizacji tego pliku, ustawianie jego uprawnienia do odczytu tylko z innym użytkownikiem jako właścicielem, a następnie restartowanie

Korzystając z fseventer, mogłem zobaczyć, że ten plik HSTS.plist (i zawarta w nim historia przeglądania) zachowywał się odradzanie za każdym razem, gdy otwierałem Safari i przełączałem tryb przeglądania prywatnego. Przynajmniej na tej maszynie HSTS.plist nigdy się nie odradza, chyba że mam połączenie z Internetem.

To mnie dziwi, więc byłbym wdzięczny za wszelkie reakcje i komentarze, które możesz mieć w komentarzach. Czy może to być: - złośliwe oprogramowanie? Wydaje się to mniej prawdopodobne, ponieważ skanowanie dysku twardego w trybie awaryjnym z clamXav zostało wyczyszczone. - artefakt poprzedniej niestandardowej konfiguracji? Być może to zachowanie jest w jakiś sposób powiązane z czymś takim jak Safari Mobile Bookmarks Sync (które wyłączyłem) lub jakimś czknięciem aktualizacji związanym z aktualizacją w pełni załatanej kopii OS X Mountain Lion 10.8.5 do OS X Mavericks 10.9 kilka dni wcześniejszy? - potencjalny nowy wektor podobny do plików cookie, który Apple i / lub reklamodawcy mogliby potencjalnie wykorzystać do odcisków palców użytkowników poprzez migawkę historii przeglądania HTTPS, nawet w trybie Prywatnego przeglądania Safari? To byłoby oburzenie. - nowa „funkcja” związana z implementacją HSTS przez Safari? Biorąc pod uwagę potencjalne implikacje dla prywatności, byłoby to również oburzeniem.

Oprócz całkowitego wyczyszczenia komputera i ponownej instalacji wszystkiego od zera, nie jestem pewien, co zrobić, aby usunąć z mojego komputera artefakt ze starej historii przeglądania. Nawet jeśli ta ~ / Biblioteka / Pliki cookie / HSTS.plist to tylko prosta pamięć podręczna odwiedzanych stron internetowych obsługujących HSTS, jest wysoce niepożądana, ponieważ przecieka historię przeglądania - nawet w trybie przeglądania prywatnego, a nawet w historii dostępnej w GUI i w pamięci podręcznej - funkcje usuwania - i wydaje się być bardzo trwałym potencjalnym wektorem dla użytkowników odcisków palców.

Prywatność przeglądarki
źródło

Odpowiedzi:

1

Czy nie jest to tylko lista stron, o których wiadomo, że proszą tylko o https? moja jest - domeny są tam, których nigdy nie odwiedziłem, a lista jest podobna do sekcji „// Force HTTPS dla witryn, które o to poprosiły” w http://pastebin.com/WQijpvR4

użytkownik61400
źródło
Dziękuje za komentarz. W moim przypadku domeny w pliku ~ / Library / Cookies / HSTS.plist to strony, o których wiadomo, że żądają tylko protokołu https, ale wszystkie to witryny, które odwiedziłem w przeszłości. Ogólnie rzecz biorąc, witryny żądające tylko HTTPS mogą mieć większe szanse na uzyskanie / utrzymanie danych osobowych użytkowników. W każdym razie to, co wydaje się być implementacją HSTS przez OSX Mavericks, pozostawia wiele do życzenia.
Prywatność przeglądarki
W przypadku, gdy nie było to jasne w moim oryginalnym poście (proszę zobaczyć blog, aby uzyskać pełniejsze wyjaśnienie), moje obawy związane z tym zachowaniem Mavericks były następujące: 1. Nawet po przejściu dość skomplikowanych prac, aby zachować prywatność mojej historii przeglądania, użytkownicy wydają się być nie można usunąć żadnej historii przeglądania zawartej w pliku HSTS.plist. Więc gdybym miał odwiedzić wrażliwe strony - nawet w trybie prywatnego przeglądania - wydaje się, że nie ma sposobu, aby usunąć przechwytywanie historii przeglądania, która wydaje się być niezgodna zarówno z literą, jak i duchem odpowiednich preferencji Safari, jak rozumiem im.
Prywatność przeglądarki
..i 2. Dla wielu użytkowników historia przeglądania HTTPS w tym pliku może być wrażliwa i identyfikująca. Nie śledziłem tego w dalszym ciągu, ale może nawet być tak, że przez „błąd” w preferencjach synchronizacji Safari niektórych użytkowników itp., Że sam Apple zachowuje te informacje na swoich serwerach i że zachowanie się odradza Zauważyłem, że ~ / Library / Cookies / HSTS.plist to plik lub jego zawartość jest pobierana z Apple. Dla wielu użytkowników jest to niepożądane i może mieć poważny wpływ na prywatność. Ale dla jasności, nie ustaliłem jeszcze, czy tak jest.
Prywatność przeglądarki