http - 这会保护我免受 Etag 跟踪吗？

Question

背景:ETag 跟踪得到了很好的解释 here并且在 Wikipedia 上也提到了.

安answer我在对“如何防止 ETag 跟踪？”的回复中写道。促使我写下这个问题。

我有一个浏览器端解决方案可以防止 ETag 跟踪。它在不修改当前 HTTP 协议(protocol)的情况下工作。 这是 ETag 跟踪的可行解决方案吗？

不是告诉服务器我们的 ETag 而是向服务器询问它的 ETag，然后我们将它与我们已经拥有的 ETag 进行比较。

伪代码:

If (file_not_in_cache)
{
    page=http_get_request();     
    page.display();
    page.put_in_cache();
}
else
{
    page=load_from_cache();
    client_etag=page.extract_etag();
    server_etag=http_HEAD_request().extract_etag();

    //Instead of saying "my etag is xyz",
    //the client says: "what is YOUR etag, server?"

    if (server_etag==client_etag)
    {
        page.display();
    }
    else
    {
        page.remove_from_cache();
        page=http_get_request();     
        page.display();
        page.put_in_cache();
    }
}

我的解决方案的 HTTP 对话示例:

客户:

HEAD /posts/46328
host: security.stackexchange.com

服务器:

HTTP/1.1 200 OK
Date: Mon, 23 May 2005 22:38:34 GMT
Server: Apache/1.3.3.7 (Unix) (Red-Hat/Linux)
Last-Modified: Wed, 08 Jan 2003 23:11:55 GMT
ETag: "EVIl_UNIQUE_TRACKING_ETAG"
Content-Type: text/html
Content-Length: 131

情况一，Client有一个相同的ETag:

Connection closes, client loads page from cache.

情况 2，客户端有不匹配的 ETag:

GET...... //and a normal http conversation begins.

需要修改 HTTP 规范的额外内容

将以下内容视为理论 Material ，HTTP 规范可能不会很快改变。

<强>1。移除 HEAD 开销

值得注意的是，这里有一个小的开销，服务器必须两次发送 HTTP header :一次响应 HEAD，一次响应 GET。一个理论上的解决方法是修改 HTTP 协议(protocol)并添加一个请求无 header 内容的新方法。然后，如果 ETag 不匹配，客户端将仅请求 HEAD，然后仅请求内容。

<强>2。防止基于缓存的跟踪(或至少使其变得更加困难)

虽然 Sneftel 建议的解决方法不是 ETag 跟踪技术，但它确实可以跟踪人们，即使他们使用我建议的“HEAD，GET”序列。解决方案是限制 ETag 的可能值:ETag 必须是内容的校验和，而不是任何序列。客户端对此进行检查，如果校验和值与服务器发送的值不匹配，则不使用缓存。

旁注:修复 2 还会消除以下 Evercookie跟踪技术:pngData、etagData、cacheData。将其与 Chrome 的“仅在我退出浏览器之前保留本地数据”相结合，消除了除 Flash 和 Silverlight cookie 之外的所有 evercookie 跟踪技术。

Answer 1

这听起来很合理，但存在变通办法。假设首页总是被赋予相同的 etag(以便返回的访问者总是从缓存中加载它)，但页面本身在每次加载时引用不同名称的图像。然后，您对此图像的 GET 或 HEAD 请求将唯一标识您。可以说这不是基于 etag 的攻击，但它仍然使用您的缓存来识别您。