| Главная / Информационная безопасность / Статьи
Технология cookies давно находится в поле зрения специалистов по защите информации. Одной из основных причин является то, что много антишпионские программы содержат средства поиска «вредоносных» cookies и внушительные базы сигнатур для реализации такого поиска. Детектирование cookies в качестве одной из разновидностей шпионского ПО в свою очередь вызывает множество вопросов у пользователей – насколько это опасно и следует ли применять особые меры защиты. Задачей данной статьи является рассмотрение технологии Cookie, создаваемых ей потенциальных угроз, методик анализа и противодействия.
Назначение cookies
Итак, стоит начать с ответа на вопрос "что такое cookies". Cookies - это текстовая информация небольшого объема, которая сохраняется на компьютере пользователя по запросу WEB сервера и предается ему при повторных посещениях. Основным назначением cookies является:
1. Организация сессий в ходе работы пользователя с On-Line магазинами, форумами и иными интерактивными системами с Web интерфейсом, например с системами документооборота или почтовыми сервисами с web интерфейсом. В этом случае в cookie хранятся некоторые параметры сессии, например ее уникальный идентификатор;
2. Хранение различных параметров пользователя. Часто в cookie хранятся не сами данные, а некий идентификатор, позволяющий программному обеспечению web сервера опознать пользователя;
3. Идентификация пользователя в рейтинговых системах, счетчиках, системах баннерного показа, on-line голосованиях. Часто применяется как элемент защиты от так называемой «накрутки» счетчиков посещения
Существуют три способа создания cookie:
- При помощи поля в заголовке HTTP ответа. В этом случае сервер передает в HTTP ответе одно или несколько полей Set-Cookie: <определение cookies>. Пример заголовка HTTP ответа сервера:
HTTP/1.0 200 OK
Date: Thu, 22 Dec 2005 06:41:30 GMT
Expires: Thu, 01 Jan 1970 00:00:01 GMT
Content-type: image/gif
Set-Cookie: ruid=AjkABppKqkPzAAAAAZEAnFyrv; path=/; domain=.rambler.ru; expires=Sun, 20-Dec-15 06:41:30 GMT
- При помощи META тега в заголовке HTML страницы. Тег имеет вид <META HTTP-EQUIV="Set-Cookie" CONTENT=" определение cookies", причем в одной странице таких тегов может быть несколько. Данный тег эквивалентен полю Set-Cookie в заголовке HTTP ответа;
- При помощи скриптов HTML страницы. В JavaScript, к примеру, для доступа к cookie предусмотрено свойство document.cookie. Рассмотрим простейший скрипт, который выводит на странице текущее значение document.cookie, а затем создает cookie с именем «test-cookie-1»
<html>
<head>
<SCRIPT LANGUAGE="JavaScript">
document.write("Cookie text = '" + document.cookie+"'");
document.cookie = "data=test-cookie-1-data; expires=Thursday, 14-Feb-2007 18:49:21 GMT";
</script>
</head>
<body>
</body>
</html>
Первый запуск примера должен отобразить пустую строку, второй и последующие – строку «data=test-cookie-1-data». Файл с данным примером прилагается к статье, имя файла - cookie-1.htm. Пример еще пригодится для тестирования анализатора cookies, речь о котором пойдет далее.
При создании cookie может быть указано время ее хранения при помощи параметра expires. В данном параметре указывается дата и время, до которого браузеру рекомендуется хранить cookie. Важно отметить, что именно рекомендуется – браузер не обязан хранить cookie с течение заданного времени. Если в момент создания cookie выяснится, что в параметре expires задана дата меньше текущей, то cookie с таким именем будет удален. Кроме того, существуют так называемые сеансовые cookie – у них не задано время хранения и они существуют только в течение сеанса работы. Сеансовые cookie часто применяются как средство поддержания сессии пользователя.
Передача cookie web-серверу производится в заголовке HTTP запроса, в поле Cookie:, вот пример типового HTTP запроса:
GET http://top100-images.rambler.ru/top100/banner-88x31-rambler-black2.gif HTTP/1.0
Accept: */*
Referer: http://virusinfo.info
Accept-Language: ru
Proxy-Connection: Keep-Alive
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: top100-images.rambler.ru
Pragma: no-cache
Cookie: ruid=yQAAAEBPWkIOagAAAawJAAA=
Подробную спецификацию cookie на английском языке можно найти по адресу http://wp.netscape.com/newsref/std/cookie_spec.html
Хранение cookies
Методика хранения cookie зависит от браузера. Internet Explorer сохраняет данные cookies в виде отдельных текстовых файлов в папке Cookies, расположенной в профиле пользователя. Единственным средством защиты данной папки является наличие у нее атрибута «Системный», что делает ее невидимой для проводника. Сами файлы имеют расширение txt и могут быть просмотрены при помощи обычного блокнота.
Браузер Mozilla Firefox хранит cookie в профиле пользователя, в файле Application Data\Mozilla\Firefox\Profiles\<имя профиля>\cookies.txt. Этот файл имеет весьма простую структуру – комментарии начинаются с символа #, данные cookie идут по одной на каждую строку, разделителем полей является знак табуляции.
Примеры web программирования с применением cookie
Для иллюстрации базовых приемов работы с cookie к статье приложено четыре простых примера CGI программ на языке Delphi (в виде исходных текстов и откомпилированных программ). Откомпилированные программы необходимо разместить в каталоге WEB сервера, для которого разрешено выполнение CGI программ. В случае с Microsoft IIS для изучения примеров рекомендуется создать отдельную папку, в настройках для нее разрешить запуск сценариев и исполняемых файлов.
Пример номер 1 (cookies1.exe) является примером простейшего CGI приложения, создающего и считывающего cookie. Второй пример несколько сложнее и демонстрирует возможность создания, получения и удаления cookie под управлением CGI программы. Пример номер три демонстрирует работу с сеансовыми cookie, имитируя механизм простейшей идентификации пользователя и поддержания сессии. Наконец пример 4 демонстрирует создание счетчика посещений с простейшей защитой он «накрутки» при помощи cookie.
Примеры подробно комментированы и могут быть откомпилированы на любой версии Delphi начиная с 5.0.
SpyWare cookies и Tracking Cookies
Два данных названия как правило относятся к примерно идентичному типу cookies, применяемых разработчиками различных рейтинговых и баннерных систем для отслеживания посещения пользователем страниц, содержащих элементы этих систем. Cookie в данном случае используется для своеобразной «пометки» пользователя, причем подобная «пометка» как правило не может быть ассоциирована с конкретным пользователем и его персональными данными, так как является простым уникальным идентификатором. Схема работы уже упоминалась в статье про SpyWare, она показана на рисунке 1
Предположим для определенности, что пользователь посещает два сайта, содержащих на своих страницах счетчик одной и той же рейтинговой системы. Будем считать, что у браузера пользователя разрешены прием и передача cookie.
При посещении сайта A произойдет две операции – загрузка страницы с сайта A (шаг 1) и обращение к сайту рейтинговой системы (шаг 2) для получения рисунка с данными счетчика или логотипом рейтинговой системы. Если это первое обращение пользователя к сайту рейтинговой системы, то на его компьютере нет ее cookies. Не получив cookie рейтинговая система, в свою очередь, присваивает пользователю уникальный идентификатор и в заголовке HTTP ответа передает поле Set-Cookie, предписывающее браузеру сохранить cookie для сайта рейтинговой системы. Классическим примером может послужить рейтинг rambler.ru, который использует единственный cookie вида «ruid=<уникальный идентификатор, присвоенный пользователю>».
Затем пользователь посещает сайт B (шаг 3) и происходит повторное обращение к сайту рейтинговой системы (шаг 4), в ходе которого передается cookie, сохраненный на шаге 2. Получив и проанализировав cookie рейтинговая система «узнает» пользователя по его уникальному идентификатору. В результате рейтинговая система может не просто фиксировать факт посещения сайта, но и отслеживать «траекторию» переходов пользователя по сайтам (естественно только по сайтам, страницы которой содержат счетчики этой рейтинговой системы).
Далее предположим, что пользователь повторно посетил сайты A и B. В этом случае рейтинговая система фиксирует факт повторного посещения, что позволяет построить защиту от «накрутки» счетчика, производить учет количества уникальных посетителей ресурса за единицу времени и вычислять среднестатистическое количество постоянных пользователей ресурса.
Важно отметить, что при помощи cookie любой сайт может регистрировать факт повторного посещения, но не может определить никаких персональных данных пользователя. Исключеним является случай, когда пользователь сам передал какие-либо данные, заполняя формы регистрации на сайте – но даже в этом случае подобные данные очень редко хранятся непосредственно в cookie. Обычно подобные данные заносятся в базу данных на стороне WEB сервера. Однако здесь все зависит от WEB программистов, создающих посещаемые пользователем сайты – далее описана утилита, позволяющая проверить cookies на своем компьютере.
Пути утечки хранящейся в cookies информации
Рассмотрим несколько наиболее типичных путей, по которым хранящаяся в cookie информация может быть получена злоумышленниками:
- Межсайтовый скриптинг. Это наиболее простой и популярный метод похищения cookie. Он основан на внедрение в легитимную WEB страницу небольшого троянского скрипта, передающего доступные узлу cookie злоумышленнику. Особенностью межсайтового скриптинга является то, что с его помощью можно похитить сеансовые cookie;
- Эксплуатация уязвимостей браузера.
- Внедрение на компьютер пользователя троянской программы, которая проанализирует содержащуюся в cookes информацию и передаст ее создателям. Как вариант, троянская программа может не только проанализировать cookie, но и модифицировать их. Создать такую программу достаточно просто, так как Internet Explorer и Mozilla Firefox хранят cookie в открытом виде;
- Использование компьютера в местах публичного доступа (библиотеки, Интернет-кафе и т.п.). Многие пользователи не задумываются о необходимости удаления журналов работы и cookies при завершении работы
- Перехват cookie при помощи средств анализа сетевого трафика.
- Регистрация данных cookie в протоколе proxy-сервера. В зависимости от настроек proxy-сервер может производить запись не только полного URL, но и заголовков HTTP запроса и ответа
Основные угрозы, создаваемые cookie
C cookie связано несколько основных видов угроз:
- Утечка конфиденциальной информации. Может произойти в случае получения злоумышленником хранящихся в cookie данных любым способом;
- Несанкционированный доступ злоумышленника к некоторым Web сервисам от имени пользователя. Это в первую очередь связано с получение хранящегося в cookie идентификатора сессии, хранимого в cookie имени и пароля пользователя или их эквивалента;
- Проведение анализа, какие узлы посещались пользователем в последнее время. В данном случае cookie наряду с журналами браузера и кешем страниц позволяют получить достаточно полную картину о том, какие сайты посещались пользователем. Подобный анализ обычно производится специалистами спецслужб или службы безопасности в качестве одного из элементов изучения компьютера.
Поиск cookie, содержащих конфиденциальную информацию
Для оперативного анализа содержимого Cookies можно применить антивирусную утилиту AVZ, содержащую средство поиска заданных текстовых фрагментов в содержимом cookies, сохраняемых браузерами Internet Explorer и Mozilla Firefox. Окно системы поиска вызывается из меню «Сервис/Поиск cookies». Особенностью системы поиска является то, что поиск может вестись одновременно по нескольким текстовым образцам (при этом образцы разделяются пробелом или «;»). Поиск ведется с учетом того, что данные в cookie могу быть представлены в формате Base64, UUE, url-encoding или quoted-printable. Анализируемые форматы можно выбрать на закладке «Настройки», по умолчанию ведется попытка поиска во всех форматах.
Для проведения анализа в строке «Образец» необходимо ввести фрагменты e-mail адресов пользователя, применяемые для регистрации на Интернет сайтах имена и пароли, фрагменты номеров кредитных карт или иную информацию, которая вводилась в WEB формы и утечка которой, по мнению пользователя, представляет для него угрозу. При указании образцов поиска следует учитывать, что по сути ведется поиск вхождения указанных образцов в данных cookie, поэтому часто для эффективного поиска достаточно указать уникальные фрагменты, например “newvirus” вместо «newvirus@z-oleg.com» или последние 5 цифр номера кредитной карты вместо ее полного номера.
После задания образцов необходимо нажать кнопку «Пуск» для запуска поиска. Поиск может занять некоторое время, как правило, не более 10-20 секунд. После завершения поиска формируется протокол, в котором указано, в каких cookie встречались указанные образцы. На закладке «Найденные Cookies» можно просмотреть список найденных Cookies, при нажатии кнопки «Просмотреть Cookie» на экран выводится содержимое текущего Cookie для детального анализа.
Проверить работу анализатора можно при помощи приложенного к статье примера – после запуска test-cookie-1.htm можно провести поиск по образцу “test-cookie-1-data”.
Данный анализатор позволяет пользователю узнать, какие сайты сохраняют в cookies критичную для него информацию - в последствии для этих сайтов можно создать правила, блокирующие прием от них cookies.
Настройка параметров работы с Cookie для IE 6
Настройка параметров работы с cookies в IE производится на закладке «Конфиденциальность» в свойствах обозревателя. По умолчанию установлен уровень конфиденциальности «Средний», в это режиме часть сторонних cookie (различные счетчики, рейтинги) блокируется. Максимальным уровнем является «блокировать все cookie”, что блокирует прием cookie и передачу уже существующих на компьютере. При установке минимального уровня разрешается прием cookie от всех узлов.
Кнопка «Узлы» позволяет задавать исключения. Это очень полезная функция, так как исключения имеют приоритет над автоматическим анализом. Кнопка «Узлы» недоступна при выборе минимального и максимального уровня конфиденциальности, так как не имеет для них смысла.
Нажатие данной кнопки вызывает окно, позволяющее ввести адрес узла и выбрать применяемое для него действие – «Блокировать» или «Разрешить», что позволяет вручную запретить или разрешить cookie для определенных узлов. В частности, можно установить высокий уровень конфиденциальности и затем разрешить прием cookie для определенных узлов.
Кнопка «Дополнительно» позволяет перекрыть автоматическую обработку файлов cookie и однозначно задать реакцию браузера на «основные» (создаваемые для узла, с которого открывается страница) и «сторонние» cookie (создаваемые элементами, размещенными на других узлах – в частности, это относится к баннерам и счетчикам).
Можно отметить, что в случае перекрытия автоматической обработки рекомендуется запретить прием сторонних cookie и разрешить работу с сеансовыми (они хранятся только в течении сеанса и поэтому не представляют особой опасности).
Если в ходе просмотра WEB страницы IE блокирует cookie, то в его строке статуса отображается значок, при щелчке по которому выводится список заблокированных cookie
Контекстное меню списка позволяет задать политику работу с cookie для любого из отображенных в списке узлов – можно запретить прием cookie или разрешить его.
Удаление всех хранящихся cookie производится при нажатии кнопки «Удалить cookie» на закладке «Общие» в свойствах обозревателя.
Говоря про настройки конфиденциальности в IE стоит упомянуть про протокол P3P (Platform for Privacy Preferences, http://www.w3.org/P3P). Этот протокол поддерживается в IE6, идея P3P состоит в том, что создатели WEB ресурса описывают «политику приватности» своего сайта в XML формате и размещают в файле /w3c/p3p.xml. Этот файл может быть загружен браузером для анализа и сравнения с действующей политикой безопасности, что помогает принять решение о том, принимать cookie от данного узла или отклонить их. Пример P3P описания можно посмотреть, загрузив такой файл с одного из крупных российских сайтов, например http://www.rambler.ru/w3c/p3p.xml, http://top.mail.ru/w3c/p3p.xml. Анализируя P3P файлы следует обратить внимание на присутствующую в них ссылку на развернутое описание политики, которое размещается в отдельном файле, ссылка на который дается в тэге POLICY-REF (для Rambler это файл http://www.rambler.ru/w3c/p3p.rambler.xml).
Настройка параметров работы с Cookie для Mozilla Firefox
Настройка параметров работы с cookie для Firefox несколько отличается от настроек IE – все связанные с приватностью настройки (журналы, управление сохраненными данными форм и паролями, настройка работы с cookies) собраны в группе «Приватность» окна настроек.
Настройки Firefox позволяют включать/выключать прием cookies, при включенном приеме можно разрешить прием cookie только с того-же сайта, что и открываемая страница (это аналог блокировки сторонних cookie в IE). Кроме того, можно принудительно управлять сроком хранения cookie. По умолчанию они хранятся в соответствии с указанным при их создании временем действия, можно включить хранение cookie до закрытия окна Firefox. В настройке можно задать исключения (данная настройка аналогична настройке IE) и просмотреть имеющиеся cookies. Окно просмотра cookies вызывается при нажатии кнопки «Просмотр Cookies».
Наличие возможности просмотра принятых cookies является очень полезной функцией Firefox – для каждого cookie можно увидеть расшифровку всех его параметров, в частности срок действия и значение.
Кнопка «Удалить cookie» позволяет избирательно удалять любой cookie, кнопка «Удалить все cookies” производит удаление всех хранящихся на компьютере cookie.
Особое внимание стоит уделить переключателю внизу окна – его включение позволяет автоматически создавать правила блокировки для сайтов, которым принадлежат удаляемые cookie.
Заключение
В данной статье описана технология cookies и представляемые ей потенциальные угрозы. Анализ показывает, что при правильной настройке браузера cookie не представляют существенной опасности.
В заключение можно сформулировать ряд советов для пользователя:
1. Не следует уделять большого внимания сообщениям антишпионских программ, рапортующих об обнаружении на проверяемом компьютере множества «шпионских» cookie – в большинстве случаев это cookie различных счетчиков, рейтингов и баннерных рулеток, и их наличие не представляет для пользователя существенной угрозы;
2. Рекомендуется периодически анализировать хранящиеся на компьютере cookie на предмет наличия в них конфиденциальной информации. Создающие такие cookie сайты стоит внести в черные списки, разрешив для них только сеансовые cookie;
3. После завершения работы на компьютере в местах публичного доступа рекомендуется удалить все cookie;
4. Настраивая браузер можно запретить прием сторонних cookie. Это, как правило, не сказывается на просмотре WEB сайтов, но существенно уменьшает количество сохраняемых cookie;
| 
