安全与隐私github.com
超级Cookie：通过网站图标进行浏览器指纹识别
Supercookie: Browser Fingerprinting via Favicon
2021 — 2025，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
Supercookie 是一个演示项目，展示了利用浏览器 favicon 缓存进行设备指纹追踪的技术：网站通过 favicon 的哈希值生成唯一标识符，即使用户清除 Cookie 或使用无痕模式也可能被识别。项目附带了在线演示和论文链接。
为什么经久不衰：它揭示了浏览器缓存侧信道这一隐蔽的追踪手段，推动了 Firefox 等浏览器的隐私防护改进，至今仍是理解网页指纹技术的经典案例。
HN 评论精选
提供了更完整的技术讨论入口
指向该论文相关讨论帖的链接（55 条评论）。
est31查看英文原文
Link to discussion of the paper (55 comments): https://news.ycombinator.com/item?id=25868742
技术上巧妙但重定向开销大、破坏用户体验，实际应用价值存疑
这个方法很巧妙，但我不认为它会在实际中被广泛使用。每次想给浏览器做指纹识别都需要约 32 次连续的文档重定向，这会很慢：在我的（较快的）网络下，十几次重定向大约要十秒。在 3G 网络下可能要慢得多。而且这很可能只能在根页面级别进行（iframe 里行不通，因为 iframe 没有 favicon），还会严重破坏后退按钮。我想不出有什么实际场景能真正用它来追踪，也许在弹窗里可以？
bastawhiz查看英文原文
This is a neat approach, but I'm not sure I'd expect it to be used in the wild. ~32 consecutive document redirects every time you want to fingerprint a browser would be slow: twelve (?) redirects on my (~fast) internet takes about ten seconds. On 3g, I could imagine this taking much longer. You'd also likely need to do this at the (root) page level (i.e., it wouldn't work inside an iframe, since iframes don't have favicons), and it breaks the back button really hard. I'm not sure I can think of a practical situation where this could actually be used for tracking. Maybe if it was done in a popup?
Firefox 已通过清缓存一并清除 favicon 来防护，该说法对 Firefox 不成立
这应该只适用于用户缓存存在的情况吧？至少在我测试的 Firefox 85.0.1 桌面版和 85.1.1 安卓版上，清除缓存也会同时清掉 favicon。另外我在移动端清缓存后测试 demo.supercookie.me 得到不同的哈希值，桌面版隐私窗口之间也是如此。README 里说“即使在无痕模式下也有效，且不会被清缓存、关闭浏览器等操作清除”的说法有误导性，至少对 Firefox 而言如此。
oedmarap查看英文原文
This only applies to browsing where the user's cache is present, yes? At least in Firefox 85.0.1 Desktop and 85.1.1 Android (when I tested) clearing the cache also nukes the favicons as well. Also, I get different hashes when I test on demo.supercookie.me after clearing my cache on mobile, and also across Private windows on desktop. The statement "[...] even in the browser's incognito mode and is not cleared by flushing the cache, closing the browser [...]" is misleading, at least where Firefox[0] is concerned. [0] https://blog.mozilla.org/security/2021/01/26/supercookie-protections/
实测 Firefox 85 已修复此追踪方式
在 Windows 上的 Firefox 85.0 x64 中不起作用。我访问了演示网站，我的编号是 A5 94 D6 7E 4A DE，用隐私模式再访问时变成了 51 ED 26 D8 66 FC。
crashdelta查看英文原文
It doesn't work in FireFox 85.0 x64 on Windows. I went to the site, did the demo, my number was A5 94 D6 7E 4A DE and when I came back in private mode it was 51 ED 26 D8 66 FC.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选