Michael Cobb是認(rèn)證信息系統(tǒng)安全架構(gòu)專家(CISSP-ISSAP)，知名的安全作家，具有十多年豐富的IT行業(yè)經(jīng)驗(yàn)，并且還從事過十六年的金融行業(yè)。他是Cobweb Applications公司的創(chuàng)始人兼常務(wù)董事，該公司主要提供IT培訓(xùn)，以及數(shù)據(jù)安全和分析的支持。Michael還合著過IIS Security一書，并為領(lǐng)先的IT出版物撰寫過無數(shù)科技文章。此外，Michael還是微軟認(rèn)證數(shù)據(jù)庫系統(tǒng)管理員和微軟認(rèn)證專家。
【TechTarget中國原創(chuàng)】在本文中，專家Michael Cobb探討了HTTP referer header對用戶隱私性的影響，并介紹了確保敏感數(shù)據(jù)不被泄露的方法。
Firefox 26測試版已經(jīng)修改了referer header來保護(hù)用戶隱私。那么，現(xiàn)有的referer header有什么問題，這一改變將對用戶隱私有何影響?我們的開發(fā)人員是否應(yīng)該考慮修改我們的referer header?
Michael Cobb：HTTP referrer是可選HTTP header字段，它是由Web瀏覽器發(fā)送到Web服務(wù)器作為HTTP資源請求(例如網(wǎng)頁)的一部分;它包含網(wǎng)頁的地址，鏈接到所請求的資源。例如，如果用戶點(diǎn)擊了SearchSecurity主頁(http://searchsecurity.techtarget.com/)的超鏈接將他們帶到http://www.computerweekly.com/，HTTP referrer的內(nèi)容將會(huì)是http://searchsecurity.techtarget.com/。記錄這一信息可以讓網(wǎng)站管理員分析其網(wǎng)站訪客的來源，因?yàn)樗麄兛梢酝ㄟ^查看referer信息了解請求來自何處。
然而，網(wǎng)頁的網(wǎng)址可能不只是包含網(wǎng)頁本身的地址，還可能包含查詢字符串、用戶名和其他數(shù)據(jù)(個(gè)人或敏感信息)。例如，Healthcare.gov網(wǎng)站被發(fā)現(xiàn)在其refererheader中發(fā)送個(gè)人數(shù)據(jù)到谷歌的數(shù)據(jù)分析服務(wù)、Twitter、Facebook和多個(gè)在線廣告提供商，這些數(shù)據(jù)包括郵政編碼、收入水平、吸煙狀況和懷孕狀況。
由于referer信息可能引起隱私問題，現(xiàn)在有很多方法來阻止或更改referer字段的內(nèi)容。有些代理和防火墻軟件還可篩選referer信息，或僅提供該網(wǎng)站的頂層地址。各種瀏覽器插件和安全軟件也可以操作HTTP請求以在referer字段發(fā)送空白或不準(zhǔn)確的數(shù)據(jù)，而Firefox還允許在請求header中關(guān)閉referer字段。Mozilla也已經(jīng)開始在Firefox 36測試版中試用新的meta標(biāo)簽—meta referrer，以通過更改referer header來保護(hù)其用戶的隱私。這允許HTML文檔指定一個(gè)或多個(gè)referer政策來更改Firefox發(fā)送referer header的方式，例如剝出路徑、查詢字符串和其他數(shù)據(jù)片段，或完全阻止它。
然而，阻止或操縱refererheader可能會(huì)導(dǎo)致問題;有些Web服務(wù)器會(huì)阻止其部分網(wǎng)站到瀏覽器，而不會(huì)發(fā)送預(yù)期的referer信息，以試圖阻止深層鏈接或?qū)D像的未經(jīng)授權(quán)訪問。盡管這是驗(yàn)證HTTP請求來源的不可靠的方式，但有些網(wǎng)站在使用referer信息來保護(hù)其內(nèi)容，僅允許對來自受批準(zhǔn)網(wǎng)頁的用戶的訪問。
我們需要有更好的方法來refer網(wǎng)站以控制referer字段中傳輸?shù)臄?shù)據(jù)量，并提供更統(tǒng)一的包含較少隱私信息的referer信息。HTML5支持rel屬性值“noreferer”，其中規(guī)定，如果用戶使用以下超鏈接，瀏覽器不應(yīng)該發(fā)送HTTP referrer header：
SearchSecurity
W3C Referer政策草案還推出了新的referer指令，允許網(wǎng)站管理網(wǎng)設(shè)置各種referer政策讓瀏覽器的遵循。雖然所有這些舉措允許網(wǎng)站管理員在用戶遵循其網(wǎng)頁的超鏈接時(shí)更容易控制referer字段的內(nèi)容，但除非瀏覽器和Web開發(fā)人員全面支持將這些政策納入其網(wǎng)站設(shè)計(jì)，否則保護(hù)用戶隱私的有效性無法保障。例如，用戶無法控制Do Not Trackheader請求是否受支持。
企業(yè)應(yīng)該在refererheader發(fā)送時(shí)間以及它們包含什么以確保敏感數(shù)據(jù)不被泄露方面，應(yīng)該檢查器用戶的瀏覽器的配置情況。網(wǎng)站管理員還應(yīng)該檢查當(dāng)其網(wǎng)頁的鏈接被點(diǎn)擊時(shí)，發(fā)送哪些referer信息。如果其中包含任何類型的敏感信息，那么企業(yè)應(yīng)該重新審查超鏈接的架構(gòu)以保護(hù)訪客的隱私。
京公網(wǎng)安備 11010502049343號(hào)