Firefox 59, který je naplánován na polovinu března, přinese důležitou novinku v oblasti soukromí. V anonymním režimu odstraní detaily z URL, která je posílaná v HTTP hlavičce referer. To je totiž místo, kudy často unikají citlivé informace, pak přeskakují mezi servery různých poskytovatelů.
Hlavička referer se přenáší vždy, když uživatel klikne na stránce na odkaz. Pokud uživatel na webu A klikne na odkaz vedoucí na web B, cílový server se v hlavičce dozví celou adresu stránky, ze které návštěvník webu přichází. Informace o příchozích uživatelích se pak používají například ke statistickým účelům nebo se tím sleduje účinnost placených kampaní.
Únik citlivých informací
Zároveň je to ale místo, kudy mohou unikat citlivé informace. Na začátku roku 2015 například Electronic Frontier Foundation (EFF) objevila, že web HealthCare.gov vkládal citlivé údaje o pacientovi přímo do URL. Návštěvník, který pak web opouštěl přes libovolný odkaz, pak tyto informace nevědomky předal cizímu serveru. Obsah položky referer se totiž často na cílovém serveru loguje nebo jej dostávají do ruky nejrůznější analytické služby.
Hlavička například může obsahovat následující URL zdrojové stránky:
Referer: https://www.healthcare.gov/see-plans/85601/results/?county=04019&age=40&smoker=1&pregnant=1&zip=85601&state=AZ&income=35000
Jistě uznáte, že se cílový server v takovou chvíli dozvídá o návštěvníkovi víc, než je zdrávo.
Firefox upraví anonymní režim
Aby se nic podobného nemohlo napříště stát, Mozilla se rozhodla provést úpravu v anonymním režimu Firefoxu a zkrátit předávanou adresu na minimum – namísto kompletní adresy se cílový server dozví jen holou doménu. Ve výše uvedeném příkladu by tedy obdržel jen:
Referer: https://www.healthcare.gov/
Mozilla přitom říká, že tento přístup bude uplatňovat (zatím?) jen v anonymním režimu. Argumentuje tím, že jeho uživatel si chce v takové situaci zachovat soukromí a tento záměr by proto měl být ctěn.
V běžném režimu zatím ne
Mozilla nemá zatím žádné plány týkající se nasazení tohoto přístupu i při běžném prohlížení webu. Podle jejího názoru jsou totiž informace z HTTP hlavičky velmi důležité a jejich zamlčení by přineslo více škody než užitku.
Tato změna zabrání, aby byla citlivá data omylem předávána třetí straně, pokud uživatel použije anonymní prohlížení. Tuto změnu zavedeme, až se ujistíme, že bude mít minimální nebo žádný dopad na použitelnost webu,
píše na blogu Mozilly Luke Crouch.
Přesto existují dvě situace, ve kterých bude Firefox tuto úpravu ignorovat: pokud tvůrce webu nastaví vlastní pravidla pro předávání refereru nebo pokud uživatel sám zvolí v prohlížeči jiné nastavení.
(Zdroj: Bleeping Computer)
