Como evitar o rastreamento de HSTS no Firefox
- Categoria: Raposa De Fogo
O HTTP Strict Transport Security (HSTS) foi projetado para ajudar a proteger sites (aqueles que usam HTTPS), declarando aos navegadores da web que eles devem se comunicar apenas via HTTPS com o servidor para proteger as conexões contra ataques de downgrade e sequestro de cookies.
Mozilla implementou suporte para HSTS em sua forma atual em Firefox em 2014 e está ativo em todas as versões do Firefox desde então.
Ars Technica estiveram entre os primeiros a levantar preocupações sobre a implementação de HSTS em navegadores da web, uma vez que permitiu aos operadores de sites plantar supercookies em navegadores usando a tecnologia que foi projetada para melhorar a segurança do usuário.
PARA site de demonstração foi criado por Sam Greenhalgh para demonstrar o conceito. Quando você visita o site em um navegador compatível com HSTS, é atribuído a você um ID exclusivo que persiste nas sessões do navegador e pode ser usado para rastreá-lo por causa disso.
Observação: esse problema não se limita ao navegador Firefox, pois o Google Chrome e outros navegadores que implementaram o recurso também são vulneráveis ao rastreamento HSTS.
Como o HSTS é gerenciado pelo Firefox atualmente
O Firefox salva as informações do HSTS no arquivo SiteSecurityServiceState.txt que você encontra na raiz da pasta de perfil do Firefox.
A maneira mais fácil de abri-lo é carregar o about: support na barra de endereços do Firefox e clicar no botão 'mostrar pasta' na página depois de carregada. Isso abre a pasta de perfil do Firefox no navegador de arquivos do sistema padrão.
Ao abrir o arquivo em um editor de texto simples, você obterá uma lista de nomes de domínio e valores associados a eles, incluindo uma data de expiração.
O Firefox lida com o HSTS no modo de navegação privada e no modo de navegação normal de maneira diferente.
- Modo de navegação regular: o HSTS persiste nas sessões.
- Modo de navegação privada: as informações de HSTS são excluídas após a sessão.
Observe que os sites podem acessar informações HSTS criadas durante as sessões de navegação regulares quando você entra no modo de navegação privada nessa sessão.
Proteção contra rastreamento HSTS
Ao contrário dos cookies, o HSTS não oferece abordagem de lista branca ou lista negra. O recurso é habilitado por padrão e parece não haver preferência para desabilitá-lo.
Mesmo se houvesse uma opção para fazer isso, isso afetaria a segurança durante a navegação na Internet.
1. Use apenas o modo de navegação privada
Como o Firefox está limpando as informações do HSTS depois que você fecha as sessões de navegação privada, atualmente é a melhor opção para evitar o rastreamento supercookie sem comprometer a segurança.
Para iniciar o Firefox no modo de navegação privada, use o atalho Ctrl-Shift-P ou pressione a tecla Alt e selecione Arquivo> Nova janela privada.
2. Limpe as preferências do site ao sair
A segunda opção que você tem é limpar as Preferências do site sempre que você fechar o navegador Firefox. Isso elimina todas as informações de HSTS salvas no arquivo SiteSecurityServiceState.txt, mas afeta outras preferências específicas do site, como permissões específicas do site ou níveis de zoom à medida que são limpos também pela operação.
Observação: isso também funciona no Google Chrome. Toque em Ctrl-Shift-Del para abrir a caixa de diálogo de limpar dados de navegação no navegador. Certifique-se de que 'cookies e outros dados de site e plug-in' estejam selecionados e, em seguida, apague os dados de navegação.
Isso removerá os cookies e as preferências do site também.
3. Remova as entradas do arquivo HSTS manualmente
O arquivo HSTS é um documento de texto simples, o que significa que você pode manipular os dados nele facilmente usando editores de texto.
Certifique-se de que o Firefox esteja fechado antes de fazer isso, pois o conteúdo será sobrescrito quando o Firefox for encerrado.
O método oferece controle total sobre o HSTS, mas requer intervenção manual regularmente e pode não ser adequado por causa disso.
Uma opção que você pode ter é manter sites selecionados e tornar o arquivo somente leitura depois para bloquear novas entradas nele.
Você ainda precisará editá-lo manualmente regularmente, pois as informações do HSTS têm uma data de validade.
4. Remova os dados do arquivo HSTS automaticamente
Programas como o CCleaner suportam a limpeza de HSTS Supercookies, mas você também pode executar um comando local, como echo ''> /SiteSecurityServiceState.txt no arquivo regularmente para removê-lo. Se você adicioná-lo a um arquivo em lote e executá-lo ao iniciar ou desligar o sistema, não deverá se preocupar com a persistência das informações do HSTS nas sessões.
5. Torne o arquivo HSTS somente leitura
Essa abordagem radical impede que o Firefox salve informações no arquivo HSTS. Embora isso seja eficaz na prevenção do rastreamento, significa que o navegador não pode usar o HSTS para melhorar a segurança.
Para torná-lo somente leitura no Windows, clique com o botão direito do mouse no arquivo e selecione propriedades no menu de contexto. Localize a caixa somente leitura na página de propriedades e marque-a. Clique em ok depois para aplicar a mudança. (Obrigado Calças)