To HTTP Strict Transport Security (HSTS) σχεδιάστηκε για να βοηθήσει ασφαλείς ιστοσελίδες (αυτές που χρησιμοποιούν HTTPS), δηλώνοντας στους web browsers ότι θα πρέπει να επικοινωνούν μόνο μέσω HTTPS με το διακομιστή για να προστατεύουν τις συνδέσεις από επιθέσεις υποβάθμισης και κλοπή cookies.
Ο Mozilla υποστηρίζει τη λειτουργία HSTS στις εκδόσεις του Firefox από το 2014.
Το Ars Technica εν τω μεταξύ ήταν μεταξύ των πρώτων που εξέφρασαν ανησυχίες για την λειτουργία HSTS στους web browsers, καθώς επέτρεπε σε εταιρείες, την εμφύτευση supercookies στα προγράμματα περιήγησης χρησιμοποιώντας την ίδια τεχνολογία που σχεδιάστηκε για να βελτιώσει την ασφάλεια του τελικού χρήστη.
Για του λόγου το αληθές, μπορείτε να ελέγξετε τον browser σας σε μια ιστοσελίδα επίδειξης που δημιουργήθηκε από Sam Greenhalgh.
Αν επισκεφτείτε την ιστοσελίδα με ένα πρόγραμμα περιήγησης που υποστηρίζει HSTS, θα σας εμφανίσει ένα μοναδικό αναγνωριστικό που επιτρέπει στις ιστοσελίδες να σας παρακολουθούν.
Εδώ θα πρέπει να αναφέρουμε ότι το πρόβλημα δεν περιορίζεται μόνο στον περιηγητή ιστού Firefox αλλά και στον Google Chrome και άλλους browsers που χρησιμοποιούν την λειτουργία HSTS.
Ας δούμε όμως τι κάνει ο Firefox με το HSTS.
Ο browser του ιδρύματος Mozilla αποθηκεύει τις πληροφορίες από τη λειτουργία HSTS στο SiteSecurityServiceState.txt, ένα αρχείο που θα βρείτε στη διαδρομή
C:\Users\iguru\AppData\Roaming\Mozilla\Firefox\Profiles\5f1kfxah.dev-edition-default
Στην παραπάνω διαδρομή επιλέξτε αντί για τον χρήστη iguru τον χρήστη που έχετε στο PC σας. Επίσης το όνομα του τελευταίου φακέλου μπορεί να αλλάζει.
Αν ανοίξετε το αρχείο με ένα πρόγραμμα επεξεργασίας απλού κειμένου θα δείτε μια λίστα με τα ονόματα των domains, τις τιμές που συνδέονται με αυτά, και από μια ημερομηνία λήξης.
Ας δούμε τώρα με ποιον τρόπο μπορείτε να αποφύγετε την παρακολούθηση από τα sites που χρησιμοποιούν supercookies.
Ως γνωστό ο Firefox διαθέτει και ιδιωτική λειτουργία περιήγηση.
Με την κανονική λειτουργία περιήγησης: τα HSTS αποθηκεύονται στον υπολογιστή σας, από κάθε σελίδα που σερβίρει supercookies. H ιδιωτική λειτουργία περιήγησης:όμως διαγράφει κάθε πληροφορίες HSTS μετά από τη συνεδρία.
Προστασία κατά της παρακολούθησης HSTS
1. Χρησιμοποιείτε μόνο τη λειτουργία ιδιωτικής περιήγησης
Ο Firefox θα διαγράφει όλες τις πληροφορίες HSTS μετά το κλείσιμο της σελίδας. Προς το παρόν αυτή είναι η καλύτερη επιλογή για να αποτρέψετε την παρακολούθηση από τα supercookie χωρίς να ρισκάρετε την ασφάλειά σας.
Για να εκκινήσετε τον Firefox σε κατάσταση ιδιωτικής περιήγησης, χρησιμοποιήστε το συνδυασμό των τριών πλήκτρων Ctrl-Shift-P.
2. Διαγράψτε όλα τα δεδομένα που αποθηκεύτηκαν στον υπολογιστή σας, μετά από κάθε περιήγηση στον ιστό.
Η δεύτερη επιλογή είναι κάπως, Κάθε φορά που κλείνετε το πρόγραμμα περιήγησης Firefox θα πρέπει να μην ξεχνάτε να διαγράφετε τα δεδομένα που αποθηκεύουν οι ιστοσελίδες στον υπολογιστή σας, Έτσι μαζί με όλα τα άλλα θα διαγραφούν και τα δεδομένα της λειτουργίας HSTS που έχουν αποθηκευτεί στο αρχείο SiteSecurityServiceState.txt.
3. Αφαιρέστε τις καταχωρήσεις από το αρχείο του HSTS χειροκίνητα
Το αρχείο του ΗSTS, SiteSecurityServiceState.txt. μπορεί να διαγραφεί εύκολα χρησιμοποιώντας ένα απλό πρόγραμμα επεξεργασίας κειμένου.
Βεβαιωθείτε ότι ο Firefox είναι κλειστός, πριν να το κάνετε.
Η μέθοδος σας αυτή δίνει τον πλήρη έλεγχο των δεδομένων που αποθηκεύονται στο SiteSecurityServiceState.txt. αλλά απαιτεί χειροκίνητη παρέμβαση τακτικά, κάτι που ίσως την καθιστά ακατάλληλη.
4. Κάντε το αρχείο SiteSecurityServiceState.txt μόνο για ανάγνωση
Αυτή είναι η πιο ριζοσπαστική προσέγγιση καθώς ο Firefox δεν θα μπορεί να γράψει νέες πληροφορίες της λειτουργίας ΗSTS.
Για να κάνετε το αρχείο “read only” κάντε δεξί κλικ πάνω του στο αρχείο και επιλέξτε Ιδιότητες από το μενού. Τικ στο μόνο για ανάγνωση και κλικ στο OK για να εφαρμοστεί η αλλαγή.
