פרטיות הדפדפן
בודק כותרות HTTP
ראו את כותרות הבקשה שהשרת שלנו קיבל והשוו בין ניווט בדף, בקשות JavaScript ו-Client Hints הקריאים לדפדפן.
מנתח ניווט שהתקבל…
TLS ו-HTTP
JavaScript Client Hints
- מצב
- קורא…
כותרות שהתקבלו
| שם | ערך שניתן להציג | קטגוריה | קריאה |
|---|
ממצאים ומגבלות
- מתבצע ניתוח.
כותרת Via, Forwarded, X-Forwarded-For או שדה ייעודי ל-CDN מכיל מידע מוצהר. אפשר להוסיף, להסיר או לזייף אותו; נוכחותו לבדה אינה קובעת שימוש בפרוקסי אנונימי.
השוואה לפני ואחרי
הריצו את אותה בדיקה באותו מכשיר ושמרו תוצאת בסיס. הפעילו את ה-VPN או שנו הגדרה רלוונטית אחת, הריצו שוב באותם תנאים ושמרו את התוצאה הבאה.
שמרו תוצאה מלפני ותוצאה מאחרי כדי להשוות ביניהן.
מה הבדיקה הזאת מגלה
כותרות מתארות בקשה כפי שהיא מגיעה לשרת. הן יכולות לחשוף מידע מוצהר על הדפדפן, שפות והיבטים של מסלול HTTP. ההבחנה החשובה היא היכן צופים בהן: דפדפן, פרוקסי, רשת הפצת תוכן והשרת שלנו עשויים לחשוף או לשנות שדות שונים.
איך לבצע את הבדיקה
- פתחו את הדף בפרופיל הדפדפן שברצונכם לבדוק ורשמו את מצב החיבור.
- הפעילו את לכידת הבקשה; טענו מחדש אם ברצונכם לראות Client Hints נוספים שהשרת ביקש.
- השוו כותרות בקשת ניווט ו-JavaScript, ואז קראו את הרמזים הנגישים ל-JavaScript בסעיף הנפרד שלהם.
איך המדידה פועלת
הכלי לוכד כותרות שהשרת שלנו קיבל בפועל עבור ניווט HTML ובקשות fetch. הוא גם קורא Client Hints מ-JavaScript כשהדפדפן מאפשר זאת.
ערכי כותרות רגישים מוסתרים לפני התצוגה ושמות קובצי cookie עשויים להישאר גלויים ללא ערכיהם. המודול אינו יוצר יומן אבחון, אף שתשתית האחסון יכולה לרשום בקשות בנפרד.
הבנת התוצאות
- השדות תואמים בין הבקשות
- השדות האלה הגיעו לשרת שלנו באופן עקבי בהקשרי הבקשות האלה. אין פירוש הדבר שכל אתר מקבל אותם פרטים.
- ניווט ו-fetch שונים
- הקשר הבקשה, Client Hints שהופעלו קודם או עיבוד מתווך יכולים להסביר ערכים שונים. בדקו את תפקיד השדה במקום להניח מניפולציה.
- שדה חסר או מוסתר
- ייתכן שהדפדפן אינו שולח אותו, מתווך מסיר אותו או שהכלי מסתיר ערך רגיש. פרטי TLS חסרים בקצה האחורי אינם מוכיחים שהדפדפן השתמש בטקסט גלוי.
השוואה לפני ואחרי
- שמרו לכידות מאותו פרופיל, מקור ושלב בקשה, כולל השאלה אם הדף נטען מחדש.
- שנו הגדרת דפדפן או חיבור אחת ואז חזרו על אותו רצף ניווט ו-fetch.
- השוו הקשרי בקשה תואמים. הפרידו בין פרטי פרוטוקול ו-TLS של הקצה האחורי לבין ראיות על החיבור בין הדפדפן לקצה הרשת.
מגבלות הבדיקה
- כותרות העברה או כותרות דמויות פרוקסי לבדן אינן יכולות להוכיח אנונימיזציה או לזהות מתווך אמין.
- כללי הסתרה אינם יכולים לזהות כל סוד שהוכנס לכותרת מותאמת אישית בעלת שם תמים; בדקו ייצואים לפני שיתוף.
מה לשנות, אם צריך
- כותרות השפה אינן משקפות את ההעדפה הרצויה
- בדקו את סדר השפות בדפדפן וחזרו על אותה לכידה לאחר טעינה מחדש.
- Client Hints צפויים חסרים
- בדקו HTTPS, תמיכת דפדפן ואת רצף הטעינה מחדש לפני שתתייחסו להיעדר כתכונת פרטיות.
שאלות נפוצות
האם זה בדיוק מה שהדפדפן שלי שלח?
זה מה שהשרת שלנו קיבל. מתווכים יכולים להוסיף, להסיר או לשכתב שדות בדרך.
האם כותרת פרוקסי מוכיחה שימוש ב-VPN?
לא. לכל היותר זה רמז על המסלול והיא עשויה להיעדר, להשתנות או להיות לא אמינה.