安全与隐私lucb1e.com
无 Cookie 的 Cookie 追踪
Cookieless cookies
2013 — 2019，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
这个页面演示了一种不依赖 cookie 的追踪技术：利用 HTTP ETag（以及 Last-Modified 等响应头）在用户设备上缓存标识符，从而在用户清除 cookie 后仍能识别其身份。页面通过一个简单的 demo 展示了如何生成和读取这种“无 cookie 的 cookie”，并引发了关于隐私法律与技术现实之间脱节的讨论。
为什么经久不衰：它直观揭示了一种持久且隐蔽的追踪手段，提醒人们单纯禁止 cookie 无法真正保护隐私，多年后仍具警示意义。
HN 评论精选
指出该技术并非新发明，ETag 和 Last-Modified 等 HTTP 头早就可以用于追踪。
所以这就是老掉牙的 E-tag 把戏？一点也不新鲜，可能只是没被广泛发表。这也可以用 Date / If-Last-Modified 头来做，制造一个“日期 cookie”。
0x0查看英文原文
So this is the old E-tag trick? It's not new at all, but perhaps it hasn't been as widely published. This can also be done with the Date / If-Last-Modified header, manufacturing a cookie "date".
该技术俗称 supercookie，已有公司因滥用此技术而面临法律诉讼。
它也被称为超级 cookie。KISSmetrics 曾用这种技术做追踪分析，结果一堆客户被起诉。
chancancode查看英文原文
It's also known as supercookies. KISSmetrics used to use this technique for tracking/analytics and got a bunch of their clients sued[1]. [1] http://en.wikipedia.org/wiki/HTTP_ETag#Tracking_using_ETags
evercookie 展示了更多种持久追踪手段，ETag 只是其中之一。
更全面的演示可以看 evercookie，ETag 只是其中一种方法。
tzury查看英文原文
Much more massive demonstration can be seen at evercookie where ETag is just one method among others. http://samy.pl/evercookie/
批评单纯禁止 cookie 的立法思路，认为技术现实比法律条文复杂得多。
欧洲有法律限制 cookie 的使用（有些国家是退出制，有些如荷兰是加入制）。这个网站证明了这种立法有多愚蠢。让政客瞎搞技术很危险，至少该给他们更好的建议。我理解大家都担心隐私，但仅仅把 cookie 定为非法根本解决不了问题。
AlexanderDhoore查看英文原文
In Europe there are laws that restrict the usage of cookies (opt-out in some countries, opt-in in others (like the Netherlands)). This website proves how stupid that is. Letting politicians mess with technology is dangerous, at least they should be advised better. I understand everyone is worried about their privacy, but just outlawing cookies is NOT going to fix anything. Edit: I just looked up the Belgian "Telecommunication law" and article 129 talks about "The storage of information or accessing information that's already stored in the device of a user" [1] (Loose translation). So I guess it's very broad. [1] http://bit.ly/18DLvov
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选