Safari link tracking can no longer be disabled
https://lapcatsoftware.com/articles/Safari-link-tracking.html HTML5 added a "feature" to the web called hyperlink auditing. You can read the specification from the Web Hypertext Application Technology Working Group (WHATWG). Hyperlink auditing is added to a web page via the ping attribute on an HTML anchor element (<a>), i.e., a link. [...] Notice that when you hover over the "Ping Me" link, you only see the href URL, you don't see the ping URL, so you don't even know that the attribute exists unless you look at the HTML page source. When you click the link, it loads the page http://lapcatsoftware.com/ as expected. But it also sends an HTTP POST request to http://underpassapp.com/ without any visible indication to the user. You can only see it if you do a packet trace. It should come as no surprise that the primary usage of hyperlink auditing is for tracking of link clicks. [...] Firefox disables hyperlink auditing by default, as explained in a knowledge base article. You can see this if you open about:config and look at browser:send_pings. [...] Prior to Safari 12.1, you could disable hyperlink auditing with a hidden preference: ``` defaults write com.apple.Safari com.apple.Safari.ContentPageGroupIdentifier.WebKit2HyperlinkAuditingEnabled -bool false ``` Unfortunately, this no longer works in Safari 12.1. [...] I've been informed that chrome://flags#disable-hyperlink-auditing is now missing from the Google Chrome betas, even though it still exists in the current non-beta version. The flag was removed from the source code a little over a month ago. ___ E' interessante come anche prima della rimozione, per disabilitare questo tracciamento dovevi A) sapere che c'era B) usare tool "avanzati". E tanto via JS il server può fare lo stesso. Si chiama "Insecurity through Obscurity". Ed è uno standard! Potremmo chiedere un parere alla commissione etica del WHATWG! Se solo uno dei membri sapesse di cosa si parla! :-D Giacomo
On April 9, 2019 10:14:49 AM UTC, Giacomo Tesio <giacomo@tesio.it> wrote:
https://lapcatsoftware.com/articles/Safari-link-tracking.html
E tanto via JS il server può fare lo stesso.
Si chiama "Insecurity through Obscurity". Ed è uno standard!
Per chi fosse interessato WebKit ha confermato quanto sopra elencando diversi altri modi (standard e non) con cui è possibile tracciare i click dell'utente. https://webkit.org/blog/8821/link-click-analytics-and-privacy/ La prima tecnica in realtà può essere resa molto più efficiente e "trasparente" con un semplice IFrame cui delegare le chiamate sincrone, ma immagino che non gli sia venuto in mente (e comunque avrebbe mostrato quanto è debole l'argomento della performance). Ripiegare sui content blocker è naturalmente un modo elegante per dire che privacy e sicurezza non sono un diritto ma un privilegio, per chi sa, per chi se la merita. Varrebbe la pena rileggere la Dichiarazione Universale dei Diritti dell Uomo. Ma e lunga... e in Silicon Valley non hanno tempo, poverini... Giacomo
participants (2)
-
Giacomo -
Giacomo Tesio