Gebruikers die de incognito-mode of private browsing van hun browser gebruiken zijn nog steeds via zogeheten "supercookies" te volgen, zo blijkt uit een online test van de Britse ontwikkelaar Sam Greenhalgh. Het probleem wordt veroorzaakt door een beveiligingsmaatregel genaamd "HTTP Strict Transport Security" (HSTS). De maatregel zorgt ervoor dat websites alleen via een beveiligde verbinding worden benaderd.

In het geval een website HSTS heeft ingeschakeld zal de browser dit via een speciale "flag" onthouden en zorgen dat er alleen via HTTPS verbinding wordt gemaakt. Als de gebruiker zelf HTTP in de adresbalk opgeeft wordt hij automatisch naar HTTPS doorgestuurd. Dit automatische doorsturen kan echter ook door een kwaadaardige website worden gebruikt om een uniek getal in de browser van de gebruiker op te slaan en hem zo te volgen. Dit getal kan vervolgens door andere websites worden uitgelezen. Op deze manier kan HSTS ook als trackingmechanisme worden gebruikt.

Om gebruikers meer privacy te geven hebben browsers sinds enige tijd een incognito-mode of private browsing toegevoegd. Hierbij worden bestaande cookies niet met bezochte websites gedeeld en kan de gebruiker de cookies wissen waardoor hij online gevolgd kan worden. Omdat HSTS een beveiligingsmaatregel is en eigenlijk niet voor tracking bedoeld is, gaan browsers er anders mee om dan met cookies het geval is.

Browsers

Sommige browsers zoals Google Chrome, Firefox en Opera proberen dit probleem op te lossen door zowel opgeslagen cookies als HSTS-flags te verwijderen. Volgens Greenhalgh worden bestaande HSTS-flags, in tegenstelling tot cookies, wel met andere websites gedeeld, ook al heeft de gebruiker incognito-mode of private browsing ingeschakeld. In het geval van Safari schijnt het probleem nog groter te zijn, omdat Safari-gebruikers op een Apple-apparaat geen mogelijkheid hebben om de HSTS-flags te verwijderen. Ze worden zelfs gesynchroniseerd met iCloud, zodat ze kunnen worden teruggeplaatst als de gebruiker zijn toestel wist.

"Ik weet niet of de techniek in het wild wordt gebruikt om gebruikers te volgen, hoewel dat niet wil zeggen dat dit niet zo is", zegt Greenhalgh. Hij roept de technische gemeenschap op om te kijken hoe het trackinggedeelte kan worden verholpen, terwijl de waarde van HSTS behouden blijft. In een reactie stelt het Google Chrome Security Team dat er wel maatregelen aan de browser zijn toegevoegd om het probleem aan te pakken, maar dat het uiteindelijk een afweging tussen security en privacy is. Deze vorm van "fingerprinting" zou dan ook niet zijn op te lossen, tenzij er fundamentele veranderingen worden doorgevoerd aan de manier waarop het web werkt. "

Update 7 januari

Greenhalgh laat vandaag in een update van zijn artikel weten dat het probleem niet meer speelt bij Firefox 34. "In tegenstelling tot Google Chrome heeft Firefox privacy boven veiligheid verkozen en neemt HSTS niet meer mee naar privévensters", aldus de onderzoeker.