cookieの削除は効果なし? 「supercookie」による行動追跡を防ぐには と言う記事を見つけました
cookieを使ったデータ追跡は今に始まったことではない。だが「supercookie」と呼ばれる最先端の追跡技術が、その様相を一変させている。
ほとんどのユーザーはトラッキングcookieについて、少なくとも耳にしたことはあるだろう。主要なWebブラウザは全て、ユーザーがこのcookieをある程度コントロールできるようにしている。しかしsupercookieが自分たちのシステムを侵略していることを知るユーザーはほとんどいない。supercookieは従来のトラッキングcookieよりもはるかに多くのデータを収集し、削除するのも極めて難しい。
supercookie(別名Flash cookie)は、Adobe Flash Playerのプラグインによって作成されるローカル共有オブジェクト(LSO)を指すことが多い。ユーザーはFlashベースのアニメーションや動画を見るために、Webブラウザを通じてFlashプラグインをダウンロードする。プラグインのインストールが完了すると、ユーザーのコンピュータに保存されるファイルの形でsupercookieが生成される。supercookieは従来型のcookieと同様、ユーザーが閲覧したWebサイトや閲覧の日時など、個人の閲覧習慣に関するデータを収集する。
ただし、トラッキングcookieとsupercookieの間には重大な違いが幾つかある。supercookieの方が執拗で、削除が難しく、ユーザー情報の収集も効率的だ。加えてsupercookieのサイズは最大で100Kバイトと、通常のトラッキングcookieの4Kバイトと比べてはるかに大きい。supercookieはWebブラウザから独立しているため、ユーザーがWebブラウザを切り替えてもユーザーを追跡することができる。実際、supercookieはWebブラウザからはアクセスできないフォルダに保存されているため、Webブラウザはsupercookieにアクセスすることさえできない。
残念ながら、supercookieを回避するのは容易ではない。相当量のWebコンテンツがFlashプラグインのインストールを前提としているにもかかわらず、supercookieが作成されたり、Webサイト閲覧の履歴を追跡していることはユーザーには通知されない。また、supercookieを自社のWebサイトで利用している企業は、そのWebサイトを閲覧したユーザーの情報にいつでもアクセスできる。ユーザーには何も知らせないまま、企業がsupercookieの情報を第三者組織と共有することも可能だ。
ユーザーの閲覧履歴が追跡されること自体は、企業のセキュリティを脅かす大きな問題とは思えないかもしれない。だがsupercookieの存在により、閲覧履歴の追跡が別次元の問題に変わった。広告主(あまり評判が良くない組織の場合もある)がFlashのLSOを利用すれば、ユーザーの識別情報をドメイン横断的に共有して、Flashに別ドメインのデータを読み取らせることもできる。これは、たとえユーザーが全てのcookieを遮断し、プライベートブラウジングを有効にしていたとしても防ぐことができない。
supercookieは、認証されたコンテンツを含むセッションcookieなどのトラッキングcookieを読み取り、その情報を保存することもできる。つまり、たとえトラッキングcookieが削除されたとしても、その情報自体は保存されている。攻撃者がsupercookieのデータにアクセスできれば、保存されたcookieの情報をソーシャルエンジニアリング攻撃に生かすこともできるだろう。そうすれば、個人を操ってさらに多くの社外秘情報を取得することも可能だ。
もともとインターネットはアメリカの軍事システム いまだに全ての通信が監視されていると言う可能性があるから 不思議は無い