Flash cookies：网络隐私新威胁

对于网站和广告商来说，通过HTTP下的cookies获取信息并不是受到欢迎的方式。现在的用户已经找到方法回避它们了。根据布鲁斯·施奈尔的消息，网站开发人员现在有了一种更好的方法。尽管它仍然被视为一个Cookie，但却是不同的。

LSO，一种更大更好的cookie

类似HTTP下的cookie，本地共享对象(LSO)或者叫Flashcookie是一种存储关于我们的信息和跟踪在互联网上活动情况的方式。关于这个项目，我了解到的信息有：

· Flashcookie可以容纳最多100千字节的数据，而一个标准的HTTPCookie只有4千字节。

· Flashcookie没有默认的过期时间。

· Flashcookie将被存储在不同的地点，这使得它们很难被找到。

YouTube上的测试

LSO也非常难于清除。这里就有一个例子可以证明。访问YouTube网站，打开一个视频，调节音量。删除所有cookies并关闭网络浏览器。重新打开网络浏览器并播放同一视频。请注意，声音并没有恢复到默认设置。这证明Flashcookie并没有被清除，还在发挥作用。

很少有人知道Flashcookies的存在，因此，这是一个问题。它让那些对网络浏览器的cookies进行控制的用户获得了一种虚假的安全感。正如上面提到的，隐私控制不会Flashcookies造成影响。

它们保存在什么地方

Flashcookies采用.sol的扩展名。但即使知道了这一点，我仍然无法在我的计算机上找到任何存在的迹象。多谢谷歌(使用Flashcookies)，我发现了解有关Flashcookies信息的唯一途径就是Flash播放器的网站。

下面的图片来自Flash播放器的网站，显示了存储方面的设置。标签中显示的就是访问过的网站(总共200个)中，所有保存的Flashcookies的位置。如果希望删除的话，该标签也是进行这种操作的位置。

Flashcookies相当流行

谷歌的另一次搜索结果给我带来了一份加利福尼亚大学伯克利分校的研究报告。研究人员对最大的100个网站中的Flashcookies应用和隐私情况进行了调查。结果显示：

· 100大网站中有54家采用了Flashcookies。

· 这54家网站使用了157条Flashcookies，产生了281条个人Flashcookies记录。

· 100大网站中有98家采用了HTTPcookies。这98家网站产生了3602条HTTPcookies记录。

· 这些网站中的31家采用了TRUSTe隐私标志计划。31家中的14家应用了Flashcookies。

· 100大网站中只有4家利用Flash作为跟踪机制。

看起来，很多网站都同时使用HTTP和Flashcookies。这让研究人员感到非常迷惑。经过深入分析，他们找出了原因，重生(respawning)。

Flashcookie重生

加利福尼亚大学伯克利分校的研究人员发现在关闭浏览器的时间被删除的HTTPcookies可以利用Flashcookie中的信息重写(重生)：

“我们在几家网站上发现了HTTPcookie被重写的情况。在About.com上，一条SpecificClickFlashcookie重写了一条被删除的SpecificClickHTTPcookie。同样的情况出现在Hulu.com上，一条QuantCastFlashcookie重写了一条被删除的QuantCastHTTPcookie。”

研究人员还发现Flashcookies能够恢复的，不仅限于同一网站域名的HTTPcookies：

“我们还发现HTTPCookie可以跨域重写。举例来说，第三方ClearSpring的Flashcookie可以重写符合Answers.com要求的HTTPcookie。ClearSpring还可以直接重写符合Aol.com和Mapquest.com要求的HTTPcookies。”

它的功能变得更强大

不久之前，就谷歌开始使用它们宣称不会使用的行为定位(BT)技术时，我曾经写过一篇文章。在文章中，我曾经提到网络广告促进协会(NAI)。大约有30家公司采用了BT技术。迫于压力，该协会创建了一个选择退出页面，让避免被跟踪变得十分简单。

研究人员发现，cookie退出的设置是不全面的。属于NAI的网站都创建了Flashcookies。报告中提到了一个具体事件：

“我们发现当NAI上设置QuantCast的cookie退出后，Flashcookies还是处于使用状态。在cookies被删除后，Flashcookie还容许重写QuantCastHTMLcookie。它没有选择重写退出的Cookie。因此，用户在选择退出后跟踪仍然存在。”

一些解决方案

为了避免保存Flashcookies，就需要利用设置管理器进入全局存储设置选项，移除如下图所示的“允许第三方Flash内容存储在你的计算机上”的选项。

这样的话，就可以避免Flashcookies被安装到系统中。具有讽刺意味的是，我们必须在Flash网站完成这样的操作。

在测试中，研究人员采用的是谋智火狐浏览器。在报告中，他们提到了火狐的一个插件BetterPrivacy，可以在关闭的时间删除所有的flashcookies。而另一个插件Ghostery可以对网络中的隐藏脚本进行跟踪，并发出警告。

结 论

我认为在互联网上被匿名追踪的时代已经过去了。如果这样的技术确实是无害的话，请加入是否同意的选择功能。