Cookies sú drobný technický prvok na vašom webe, no únik toho, čo sledujú, môže mať vážne následky. Ako môžu útočníci cookies zneužiť na prístup do cudzích účtov alebo krádež dát? A ako vlastne cookies fungujú?
Čo sú to cookies?
Cookies si možno predstaviť ako malé súbory, ktoré sa uložia na váš počítač alebo mobilné zariadenie v prípade, že tak určí webová stránka, ktorú navštívite. Tieto súbory obsahujú informácie o tom, z ktorej webovej stránky pochádzajú, ako dlho majú byť uložené na vašom zariadení a taktiež uchovávajú nejakú hodnotu, napríklad zvolený jazyk stránky. Moderné webové prehliadače majú cookies implementované vo forme SQLite databázy, pričom jeden záznam v tejto databáze predstavuje jednu cookie.
Prečo som zrazu odhlásený po vymazaní cookies?
Internetové stránky väčšinou používajú cookies na identifikáciu používateľa. Keď prídete na stránku prvýkrát, vytvorí sa cookie s hodnotou X, ktorá je unikátna práve pre vaše zariadenie. Táto cookie sa nazýva relačná. Ak túto stránku navštívite znovu, váš prehliadač odošle relačnú cookie s hodnotou X a server s danou stránkou bude vedieť, že ste to práve vy, pretože iba vaša relačná cookie má hodnotu X. Ak si ale zmažete cookies pre túto stránku, tak pri najbližšej návšteve sa už váš prehliadač nedokáže preukázať relačnou cookie a tak vás server neprihlási automaticky.
Čo ak nechcem používať cookies?
V prípade, že nechcete používať cookies, môžete si ich vypnúť v nastaveniach vášho prehliadača. V takomto prípade vám však viaceré internetové stránky nepôjdu, pretože podporu cookies vyžadujú. Ak nechcete, aby nejaká stránka ukladala na vašom zariadení cookies, odporúčame ju navštíviť v tzv. inkognito móde vášho prehliadača. Prehliadač v tomto móde síce podporuje cookies, ale po zatvorení okna sa všetky cookies zmażą.
Cookies z pohľadu IT bezpečnosti
Ako sme už spomínali, vďaka cookies sa môžeme identifikovať voči nejakej webovej stránke. Ak by teda útočník dokázal získať vašu relačnú cookie, jednoducho si ju importuje do svojho prehliadača, navštívi stránku, pre ktorú je táto cookie určená a tým získa prístup do vášho konta na stránke. Samozrejme platí to iba za predpokladu, že ste na tejto stránke zostali prihlásený. V opačnom prípade útočník musí počkať, kým sa na stránku prihlásite a musí dúfať, že vaša relačná cookie sa po prihlásení nezmenila.
Našťastie cookies, ktoré určujú našu identitu na webových stránkach, sú dostatočne dlhé a majú dostatočnú entropiu. Útočník ich len tak ľahko neuhádne. Taktiež sú chránené webovými princípmi bezpečnosti, akým je napríklad Same Origin Policy. V prípade útoku MITM (Man in the middle) môže útočník odchytávať komunikáciu, čím dokáže ukradnúť aj cookies. Ak je však komunikácia šifrovaná cez HTTPS, útočník tieto cookies ľahko nezíska.
Problém nastáva, keď server síce podporuje HTTPS, ale používateľ používa HTTP. Príznak Secure pri cookie slúži na to, aby prehliadač poslal cookie iba cez HTTPS. Cookies je možné ukradnúť aj pomocou útoku XSS (Cross Site Scripting). Tento scenár možno vyriešiť nastavením HttpOnly na relačné a ďalšie dôležité cookies, čím sa k nim nedostane JavaScript.
Typy cookies a ich účel
- Nevyhnutné cookies - potrebné k správnemu fungovaniu webu, napríklad pre zapamätanie prihlasovania alebo obsahu košíka.
- Preferenčné cookies - ukladajú preferencie používateľa, napríklad jazyk alebo región.
- Štatistické cookies - pomáhajú analyzovať používanie webu a zlepšovať služby, často cez Google Analytics.
- Marketingové cookies - umožňujú zobrazovanie cielenej reklamy a meranie účinnosti kampaní.
Podľa pôvodu delíme cookies na first-party (cookies vytvorené webom, ktorý navštevujete) a third-party (tretie strany, často reklamné siete). Podľa trvania rozlišujeme medzi relačnými (session) cookies a trvalými cookies. Podľa životného cyklu rozlišujeme tiež podľa účelu a podľa toho, kto ich vytvára.
GDPR a súhlas so súbormi cookie
Je dôležité, že od 25. mája 2018 platí GDPR, ktoré vyžaduje informovaný súhlas používateľa pred uložením cookies, ktoré nie sú nevyhnutne potrebné pre fungovanie stránky. Web musí jasne vysvetliť, aké cookies používa a na aký účel. Máte právo odmietnuť marketingové a analytické cookies a web musí fungovať aj bez nich, aj keď s obmedzenou funkcionalitou. Niektoré weby však využívajú dark patterns, aby používateľ ľahko súhlasil. Regulačné orgány postupne riešia tieto praktiky pokutami.
Ako spravovať cookies
Najväčšina prehliadačov akceptuje cookies automaticky, no môžete ich deaktivovať, blokovať third-party cookies alebo nastaviť automatické mazanie pri zatvorení prehliadača. Môžete tiež používať inkognito režim a rozšírenia ako Privacy Badger či uBlock Origin pre pokročilú kontrolu nad cookies a sledovacími technológiami.
Pre vlastníkov webov je dôležité implementovať správu súhlasov (consent management) napríklad cez CMP riešenia ako Cookiebot, OneTrust alebo Osano, ktoré blokujú skripty až po udelení súhlasu a ukladajú preferencie používateľa.
Príklady a praktické tipy
- Ak odstránite cookies, budete odhlásení zo stránok, ktoré si vás pamätajú, a môžete prísť o uložené preferencie.
- Ak používate cookies na zapamätanie prihlasovacích údajov alebo obsahu košíka, môžete byť odhlásení po vymazaní cookies.
- Pri správe cookies na webe si všímajte, či máte možnosť odmietnuť všetky cookies a či nie sú vopred zaškrtnuté checkboxy.
- Pri implementácii cookies na webe skontrolujte, že analytické a marketingové skripty sa nespúšťajú pred získaním súhlasu.
Praktické návody na vymazanie cookies
- Chrome: Nastavenia > Súkromie a bezpečnosť > Vymazať údaje prehliadania. Vyberte „Súbory cookie a iné údaje webových stránok“ a zvoľte časové obdobie.
- Firefox: Nastavenia > Súkromie a bezpečnosť > Cookies a údaje stránok > Vymazať údaje.
- Safari (Mac): Predvoľby > Súkromie > Spravovať údaje webových stránok > Odstrániť všetko.
- Edge: Nastavenia > Súkromie, vyhľadávanie a služby > Vymazať údaje prehliadania.
Tabuľka: príklady cookies na ukážke webu
| Názov cookies | ||
|---|---|---|
| __cf_bm | Bot Management, bezpečnosť | 30 minút |
| _ga | Google Analytics, štatistiky | 2 roky |
| SSID / SID | Prihlásenie a autorizácia | Dve roky |
| IDE | Inzerencia a marketing | 13 mesiacov |
NASA releases video of first space-baked cookies
Keď web učí korisť s cookies, je dôležité mať na pamäti, že cookies nie sú vírusy a samé o sebe nedokážu spustiť škodlivý kód. Ich hlavné riziko spočíva v súkromí a v tom, ako sú využívané na profilovanie a cielene zameranú reklamu. Moderné súčasné mechanizmy zabezpečenia, ako je šifrovanie HTTPS a HttpOnly pre cookies, výrazne znižujú tieto riziká.
tags: #ako #odsuhlasit #cookies