সুপারকুকি, জম্বি কুকি এবং এভারকুকি কী এবং কি এগুলো হুমকি?

পাইরে রেসিপি পেড়ে যাওয়া ছেড়ে দিয়ে কুকি বিষয়ক গোপনীয়তার সবচেয়ে বড় সমস্যা ছিল, কিন্তু ইন্টারনেটের কারণে সেটি বদলেছে। সাধারণ ব্রাউজার কুকি প্রায়শই সহায়ক এবং সহজে মুছে ফেলা যায়, কিন্তু অন্যান্য ভ্যারিয়েন্ট আছে যা আটকে থাকতে এবং আপনাকে ট্র্যাক করতে তৈরি। এই দুটি টাইপ, সুপারকুকি এবং জম্বি কুকি (সাধারণত "Evercookies" হিসেবে পরিচিত), বিশেষভাবে মুছে ফেলা কঠিন। সৌভাগ্য, এগুলো অদৃষ্টে নয় গেছে, এবং ব্রাউজাররা এই চোরি-ছিপে ট্র্যাকিং টেকনিক্স মোকাবিলায় বিবর্তন হচ্ছে।

সুপারকুকি (Supercookies)

এই টার্ম কিছু বিভ্রান্তিকর কারণ এতে কিছু ভিন্ন টেকনোলজি বোঝানো হয়েছে, যাদের মাঝে কিছুই আসলে কুকি। সাধারণত, এটি যেকোনো কিছুর ইঙ্গিত যা আপনার ব্রাউজিং প্রোফাইল পরিবর্তন করে একটি ইউনিক ID দেয়। এইভাবে সেগুলো কুকির মতো কাজ করে, সাইট ও অ্যাডভার্টাইজার আপনাকে ট্র্যাক করতে দেয়, কিন্তু কুকির বিপরীতে এগুলো আসলে ডিলিট করা যায় না।

আপনি সবচেয়ে বেশি "Supercookie" শব্দটি শুনবেন Unique Identifier Headers (UIDH) এবং HTTP Strict Transport Security (HSTS)-এর একটি ভালনারেবিলিটির প্রসঙ্গে, যদিও মূল টার্মটি টপ-লেভেল ডোমেন থেকে উদ্ভূত কুকিকে বোঝায়। এর মানে একটি কুকি ".com" বা ".co.uk" মতো ডোমেনের জন্য সেট করা যায়, যাতে সেই ডোমেন সাফিক্স যেকোনো ওয়েবসাইট সেটি দেখতে পারে।

Google.com একটি সুপারকুকি সেট করলে, সেটি অন্য যেকোনো ".com" ওয়েবসাইটে দৃশ্যমান হবে। এটি স্পষ্ট গোপনীয়তা সমস্যা, কিন্তু যেহেতু এটি অন্যথায় একটি সাধারণ কুকি, প্রায় সকল আধুনিক ব্রাউজার ডিফল্টলাই ব্লক করে। যেহেতু এই ধরনের সুপারকুকি সম্পর্কে এখন কথা বলা হয় না, আপনি সাধারণত অন্যান্য দুটির কথা বেশি শুনবেন।

Unique Identifier Header (UIDH)

Unique Identifier Header আপনার কম্পিউটারে নয় - এটি আপনার ISP এবং ওয়েবসাইটের সার্ভারের মাঝপথে ঘটে। প্রক্রিয়া:

1. আপনি ISP-কে একটি ওয়েবসাইটের জন্য রিকোয়েস্ট পাঠান।
2. ISP রিকোয়েস্ট সার্ভারে ফরওয়ার্ড করার আগে, আপনার রিকোয়েস্টের হেডারে একটি ইউনিক আইডেন্টিফায়ার স্ট্রিং যোগ করে।
3. এই স্ট্রিং সাইটগুলোর আপনাকে একই ব্যবহারকারী হিসেবে শনাক্ত করতে দেয় যখনই আপনি ভিজিট করেন, আপনি তাদের কুকি ডিলিট করলেও। একবার তারা কে আপনি সেটি জানলে, তারা একই কুকিগুলো আবার আপনার ব্রাউজারে ফেলে দিতে পারে।

সহজ কথায়, যদি ISP UIDH ট্র্যাকিং ব্যবহার করে, এটি আপনার পারসোনাল সিগনেচার প্রতিটি ওয়েবসাইটে পাঠাচ্ছে (বা যারা ISP-কে টাকা দিয়েছে)। এটি মূলত অ্যাড রেভিনিউ অপ্টিমাইজেশনের জন্য কাজে আসে, কিন্তু এটি অত্যন্ত আক্রমণাত্মক যে FCC ভারিজনকে ১.৩৫ মিলিয়ন USD জরিমানা করলো তাদের কাস্টমারদের জানাতে না পারা বা অপ্ট-আউট অপশন না দেয়ার জন্য।

ভারিজন ছাড়া কোনো কোম্পানি UIDH ব্যবহার করছে কিনা সেটি সম্পর্কে বেশি ডেটা নেই, কিন্তু কনসিউমার ব্যাকল্যাশের কারণে এটি অপ্রিয় কৌশল। আরও ভালো, এটি শুধু আনক্রিপ্টেড HTTP কানেকশনে কাজ করে, এবং যেহেতু অধিকাংশ ওয়েবসাইট এখন ডিফল্টলাই HTTPS ব্যবহার করে এবং HTTPS Everywhere-এর মতো এক্সটেনশন সহজে ডাউনলোড করা যায়, এই সুপারকুকি আর বড় সমস্যা নয় এবং ব্যাপকভাবে ব্যবহার হচ্ছে না বলে মনে হয়। এক্সট্রা প্রোটেকশন চাইলে VPN ব্যবহার করুন। এটি গ্যারান্টি দেয় আপনার রিকোয়েস্ট UIDH ছাড়া ওয়েবসাইটে রিলে হবে।

HTTPS Strict Transfer Security (HSTS)

এটি একটি বিরল ধরনের সুপারকুকি যা কোনো নির্দিষ্ট সাইটে শনাক্ত হয়নি, কিন্তু এপ্পল সাফারি对此 প্যাচ দিয়েছে কনফার্মড অ্যাট্যাকের উদাহরণ দেওয়ায়।

HSTS আসলে একটি ভালো জিনিস। এটি আপনার ব্রাউজারকে নিরাপদে HTTPS ভার্সনে রিডাইরেক্ট করতে দেয় ইনসিকিউর HTTP ভার্সনের বদলে। দুর্ভাগ্যবশত, এটি সুপারকুকি তৈরির জন্যও ব্যবহার করা যেতে পারে:

1. অনেক সাবডোমেন তৈরি করুন (যেমন "domain.com", "subdomain2.domain.com" ইত্যাদি)।
2. মেন পেজের প্রতিটি ভিজিটরের একটি র‍্যান্ডম নম্বর অ্যাসাইন করুন।
3. ইনভিজিবল পিক্সেলে যোগ করে বা পেজ লোড হওয়ার время সাবডোমেনগুলোতে রিডাইরেক্ট করে ব্যবহারকারীদের সব সাবডোমেন লোড করতে বাধ্য করুন।
4. কিছু সাবডোমেনে ব্রাউজারকে HSTS ব্যবহার করে সিকিউর ভার্সনে স্যুইচ করতে বলুন। অন্যগুলোকে আনসিকিউর HTTP-এ রেখে দিন।
5. যদি সাবডোমেনের HSTS পলিসি অন থাকে, সেটি "১" গুনবে। অফ থাকলে "০"। এই Стра্টেজি দিয়ে সাইট ব্রাউজারের HSTS সেটিংসে ব্যবহারকারীর র‍্যান্ডম ID নম্বর বাইনারি-তে লিখতে পারে।
6. প্রতিবার ভিজিটর ফিরে আসলে, সাইট ব্যবহারকারীর ব্রাউজারের HSTS পলিসি চেক করবে, যা অরিজিনালি জেনারেট করা একই বাইনারি নম্বর রিটার্ন করবে, ব্যবহারকারীকে আইডেন্টিফাই করবে।

এটা জটিল শোনা হলেও, মূল কথা হল ওয়েবসাইট আপনার ব্রাউজারকে একাধিক পেজের সিকিউরিটি সেটিংস জেনারেট ও মনে রাখতে বাধ্য করতে পারে, এবং পরবর্তী визиতে সেটি আপনাকে চিনতে পারবে কারণ কাউকে সেটি এক্সাক্ট কম্বিনেশন নেই।

এপ্পল ইতিমধ্যে সমাধান খুঁজে পেয়েছে, যেমন - শুধু এক বা দুই মেইন ডোমেনের জন্য HSTS সেটিংস অলো করা এবং সাইটগুলোর চেইনড রিডাইরেক্ট লিমিট করা। অন্যান্য ব্রাউজারও এই সিকিউরিটি মেজার ফলো করবে (Firefox incognito মোড হেল্প করে দেখাচ্ছে), কিন্তু যেহেতু কোনো কনফার্মড কেস নেই, অধিকাংশের জন্য এটি টপ প্রায়োরিটি নয়। আপনি নিজে কিছু সেটিংস খনন করে ম্যানুয়ালি HSTS পলিসি ক্লিয়ার করতে পারেন, কিন্তু সেটিই প্রায় সব।

জম্বি কুকি / এভারকুকি (Zombie cookies/Evercookies)

জম্বি কুকি ঠিক তার নামের মতো - কুকি যেগুলো আপনি মনে করলেন চলে গেলে আবার জীবিত হয়ে ওঠে। আপনি সেগুলো "Evercookies" হিসেবে রেফার করা দেখতে পেতে পারেন, যা দুর্ভাগ্যবশত কুকির ওনকারের إيفারলাস্টিং গবস্টপারের সমান নয়। "Evercookie" আসলে একটি জাভাস্ক্রিপ্ট API যা ইলাস্ট্রেট করার জন্য তৈরি হয়েছিল কুকি কতভাবে আপনার ডিলিট করার চেষ্টা থেকে বাঁচতে পারে।

জম্বি কুকি ক্লিয়ার হয় না কারণ আপনার রেগুলার কুকি স্টোরেজের বাইরে লুকিয়ে থাকে। লোকাল স্টোরেজ প্রাইম টার্গেট (Adobe Flash এবং Microsoft Silverlight এটা অনেক ব্যবহার করে), এবং কিছু HTML5 স্টোরেজও সমস্যা হতে পারে। লিভিং ডেড কুকি আপনার ওয়েব হিস্ট্রিতে বা RGB কালার কোডে থাকতে পারে যা আপনার ব্রাউজার ক্যাশে অলো করে। একটি ওয়েবসাইটকে শুধু একটি লুকানো কুকি খুঁজে পাওয়া লাগে, সেটি বাকিদের পুনর্জীবিত করতে পারে।

এই সিকিউরিটি হোলগুলোর অনেকটি হারিয়ে যাচ্ছে। Flash এবং Silverlight আধুনিক ওয়েব ডিজাইনের বড় অংশ নয়, এবং অনেক ব্রাউজার Evercookie-এর অন্যান্য হাইডিং প্লেসের প্রতি বিশেষ ঝুঁকিপূর্ণ নয়। যেহেতু এই কুকিগুলো আপনার সিস্টেমে ঢুকতে অanenumerable পথ রয়েছে, একক উপায়ে নিজেকে রক্ষা করা সম্ভব নয়। তবে একটি ভালো প্রাইভেসি এক্সটেনশন স্যুট এবং ভালো ব্রাউজার-ক্লিয়ারিং অভ্যাস কখনো খারাপ নয়!

রुको, আমরা সুরক্ষিত কি নয়?

অনলাইন ট্র্যাকিং টেকনোলজি একটি কনস্ট্যান্ট রেস টু দ্য টপ, তাই যদি প্রাইভেসি আপনার চিন্তার বিষয় হয়, আপনাকে احتمالত অভ্যস্ত হতে হবে যে আমরা অনলাইনে ১০০% অ্যানোনিমিটি গ্যারান্টি পাবো না।

সুপারকুকি সম্পর্কে আপনাকে অনেক চিন্তা করতে হবে না, কারণ এগুলো বন্য প্রাকৃতিক পরিবেশে কম দেখা যায় এবং ক্রমশ ব্লক হচ্ছে। অন্যদিকে, জম্বি কুকি/এভারকুকি মুছে ফেলা কঠিন। তাদের অনেক পরিচিত এভিনিউ বন্ধ হয়েছে, কিন্তু সেগুলো এখনও পটেনশিয়ালি কাজ করতে পারে যতক্ষণ না সব ভালনারেবিলিটি প্যাচ হয়, এবং সেগুলো সবসময় নতুন টেকনিক নিয়ে আসতে পারে।