Szuper-süti (supercookie): jelentése és működése a felhasználói követésben

Szuper-süti: Alapvető Melegedés a Fogalomba

Az internetes böngészés mindennapjaink szerves részévé vált, és vele együtt az online adatvédelem kérdése is egyre hangsúlyosabbá válik. Miközben a legtöbb felhasználó tisztában van a hagyományos sütik (cookie-k) szerepével a weboldalak működésében és a felhasználói követésben, léteznek ennél sokkal rejtettebb és tartósabb mechanizmusok is. Ezek közé tartozik a „szuper-süti”, vagy angolul „supercookie”, amely egy olyan technológia, melynek célja a felhasználók nyomon követése az interneten, még akkor is, ha ők megpróbálják törölni a hagyományos sütiket, vagy privát módban böngésznek.

A szuper-süti nem egyetlen, specifikus technológiát jelöl, hanem egy gyűjtőfogalom, amely többféle, a hagyományos HTTP sütiknél tartósabb és nehezebben eltávolítható azonosító mechanizmust foglal magában. Ezek a technológiák kihasználják a böngészők és a webes infrastruktúra különböző, a felhasználók számára kevésbé átlátható tárolási és azonosítási lehetőségeit. Céljuk, hogy a weboldalak, hirdetési hálózatok és más online szolgáltatók egyedi azonosítót rendeljenek egy adott felhasználóhoz vagy eszközhöz, és ezt az azonosítót hosszú távon fenntartsák, függetlenül attól, hogy a felhasználó mit tesz a böngészőjében.

Miért más, mint a hagyományos süti?

A különbség megértéséhez érdemes összehasonlítani a hagyományos sütiket és a szuper-sütiket. A hagyományos HTTP süti egy kis szöveges fájl, amelyet a weboldal a felhasználó böngészőjében tárol. Ezek a sütik számos hasznos funkciót látnak el, például emlékeznek a bejelentkezési adatokra, a bevásárlókosár tartalmára, vagy a weboldal beállításaira. A felhasználók könnyen kezelhetik és törölhetik őket a böngészőjük beállításain keresztül.

Ezzel szemben a szuper-sütik olyan helyeken tárolják az azonosító adatokat, ahol a felhasználó kevésbé számít rá, és nehezebben fér hozzá. Ezek lehetnek a böngészőn kívüli, vagy a böngésző által nem közvetlenül kezelt tárolók, vagy éppen olyan hálózati mechanizmusok, amelyek a böngésző szintjén nem törölhetők. A fő különbség a tartósságban és az átláthatóság hiányában rejlik.

Az alábbi táblázat szemlélteti a legfontosabb különbségeket:

A tartós követés problémája

A szuper-sütik alkalmazásának legfőbb problémája, hogy aláássák a felhasználók digitális magánszféráját és az online anonimitás iránti igényüket. Míg a hagyományos sütik törlésével a felhasználó elméletileg „tiszta lapot” nyithatna, a szuper-sütik lehetővé teszik a weboldalak és hirdetési hálózatok számára, hogy továbbra is nyomon kövessék az egyént, adatokat gyűjtsenek böngészési szokásairól, preferenciáiról, és így egy rendkívül részletes profil épüljön fel róla. Ez a profil aztán célzott hirdetések, tartalomajánlások vagy akár árdifferenciálás alapjául szolgálhat, anélkül, hogy a felhasználó tudna róla vagy beleegyezne.

A szuper-süti lényege abban rejlik, hogy a hagyományos felhasználói kontroll mechanizmusokat megkerülve, rejtett és kitörölhetetlen módon képes azonosítani és nyomon követni az egyént az interneten, aláásva ezzel a digitális magánszféra alapjait.

Ez a fajta követés különösen aggályos, mivel a felhasználó nem tudja hatékonyan kontrollálni, kik és milyen adatokat gyűjtenek róla. A tudtán kívüli és beleegyezés nélküli adatgyűjtés nem csupán etikai, hanem egyre inkább jogi problémákat is felvet, különösen az adatvédelmi rendeletek, mint például a GDPR korában.

A Szuper-sütik Technikai Működése és Típusai

A szuper-sütik sokfélesége abból adódik, hogy a webes technológiák különböző rétegeit és funkcióit használják ki. Lássunk néhányat a leggyakoribb és leginkább ismert típusok közül.

Flash Local Shared Objects (LSO) – „Flash sütik”

A Flash Local Shared Objects (LSO), köznyelven „Flash sütik” az egyik legkorábbi és leghírhedtebb szuper-süti típus volt. Az Adobe Flash Player által használt adatfájlok voltak, amelyek a felhasználó számítógépén tárolódtak. Míg a hagyományos HTTP sütik a böngészőhöz kötődtek és a böngésző beállításain keresztül könnyen kezelhetők voltak, a Flash LSO-k a Flash Player saját tárolási mechanizmusát használták.

A Flash LSO-k eredetileg arra szolgáltak, hogy a Flash alapú alkalmazások (például játékok, videólejátszók) felhasználói beállításokat, játékállásokat vagy gyorsítótárazott adatokat tároljanak. A probléma akkor merült fel, amikor a hirdetési hálózatok és weboldalak felismerték, hogy ezeket az LSO-kat egyedi azonosítók tárolására is fel lehet használni. Mivel a böngésző süti törlése nem befolyásolta a Flash LSO-kat, ezek az azonosítók rendkívül tartósak voltak. Egy weboldal egyszerűen le tudta olvasni a Flash LSO-ban tárolt azonosítót, és ha a felhasználó törölte a hagyományos sütijeit, a Flash LSO alapján újra generálhatta azokat. Ez a mechanizmus tette őket a „supercookie” fogalmának egyik első és legfontosabb példájává.

A Flash LSO-k korszaka azonban véget ért, mivel az Adobe 2020 végén megszüntette a Flash Player támogatását, és a modern böngészők már nem futtatják a Flash tartalmakat. Ez a fajta szuper-süti ma már nem jelent számottevő fenyegetést, de történelmi jelentősége nagy a digitális adatvédelem fejlődésében.

Evercookies (Örökkévaló sütik)

Az Evercookie egy olyan JavaScript API, amelyet Samy Kamkar fejlesztett ki 2010-ben, hogy bemutassa, mennyire nehéz lehet a felhasználók számára teljesen eltávolítani az online azonosítókat. Az Evercookie nem egyetlen tárolási mechanizmus, hanem egy olyan technika, amely többféle, a böngésző által kínált tárolási lehetőséget használ fel egyszerre, szimultán módon. Ha a felhasználó megpróbálja törölni az azonosítót az egyik helyről (például a hagyományos HTTP sütiket), az Evercookie képes újra létrehozni azt a többi tárolóból származó adatok alapján.

Az Evercookie által kihasznált tárolási mechanizmusok a következők lehettek:
* Standard HTTP sütik: A hagyományos böngésző sütik.
* Flash Local Shared Objects (LSO): Ahogy fentebb említettük.
* Silverlight Isolated Storage: Hasonló a Flash LSO-hoz, a Microsoft Silverlight keretrendszer által használt tároló.
* HTML5 Web Storage (LocalStorage és SessionStorage): A modern böngészők által kínált, nagyobb kapacitású kulcs-érték páros tárolók.
* HTML5 IndexedDB: Egy kliensoldali adatbázis a böngészőben, amely nagyobb, strukturáltabb adatok tárolására alkalmas.
* HTML5 Web SQL Database: Egy elavult kliensoldali adatbázis specifikáció.
* HTML5 Cache Manifest: Offline webalkalmazásokhoz használt gyorsítótár.
* Window.name: A böngésző ablak nevének beállítása, ami megmarad a navigációk során.
* HTTP ETag: Lásd alább.
* WebRTC cache: A valós idejű kommunikációhoz használt protokoll gyorsítótára.

Az Evercookie célja az volt, hogy demonstrálja, ha a felhasználó törli az azonosítót az egyik helyről, az újraírható a többi, még meglévő másolatból. Ez rendkívül hatékony, de etikailag erősen megkérdőjelezhető követési módszert jelentett. Bár az eredeti Evercookie implementáció ritkán látható éles weboldalakon, az általa felhasznált elv – több tárolási mechanizmus kombinálása a perzisztencia növelésére – továbbra is releváns a szuper-sütik kontextusában.

HTTP Strict Transport Security (HSTS)

A HTTP Strict Transport Security (HSTS) egy biztonsági mechanizmus, amely arra kényszeríti a böngészőt, hogy egy adott weboldalhoz mindig HTTPS kapcsolaton keresztül csatlakozzon, még akkor is, ha a felhasználó HTTP-címet ír be. Ez segít megelőzni a man-in-the-middle támadásokat és biztosítja az adatok titkosítását. Az HSTS-t egy speciális HTTP fejléc (Strict-Transport-Security) állítja be, amelyet a szerver küld el a böngészőnek. A böngésző ezt az információt egy belső, tartós listában tárolja.

Bár az HSTS egy alapvetően biztonsági funkció, felmerült a gyanú, hogy azonosításra is felhasználható. A mechanizmus lényege, hogy egy weboldal egyedi HSTS fejlécet állíthat be a felhasználó böngészőjében, amely tartalmazhat egy bitmintát vagy azonosítót. Mivel az HSTS lista tartós, és a böngésző újraindítása vagy a hagyományos sütik törlése sem törli, ez egyfajta szuper-süti mechanizmusként működhet.

A gyakorlatban egy weboldal több aldomainen keresztül küldhet HSTS beállításokat, amelyek mindegyike egy-egy bitet reprezentálhat egy azonosítóban. A böngésző később, amikor újra meglátogatja az oldalt, felfedi, mely aldomainekre van beállítva HSTS, és ezáltal „visszaolvasható” az egyedi azonosító. Bár ez egy bonyolultabb és kevésbé elterjedt módszer a követésre, a lehetőség fennáll, és rámutat arra, hogy a biztonsági funkciók is felhasználhatók adatvédelmi szempontból aggályos módon.

Entity Tags (ETag-ek)

Az Entity Tag (ETag) egy HTTP fejléc, amelyet a webes gyorsítótárazás optimalizálására használnak. Amikor egy böngésző letölt egy webes erőforrást (pl. kép, CSS fájl, JavaScript), a szerver küldhet egy ETag-et az erőforrással együtt. Ez az ETag egy egyedi azonosítója az adott erőforrás adott verziójának. Amikor a böngésző legközelebb kéri ugyanazt az erőforrást, elküldi az ETag-et a szervernek. Ha az ETag megegyezik a szerver aktuális ETagjével, a szerver válaszolhat egy „304 Not Modified” (nem módosult) státuszkóddal, jelezve, hogy a böngésző használhatja a gyorsítótárazott verziót, ezzel csökkentve a hálózati forgalmat és gyorsítva a betöltést.

Az ETag-eket szuper-süti mechanizmusként akkor lehet felhasználni, ha a szerver szándékosan egy egyedi, felhasználó-specifikus ETag-et generál minden egyes böngésző számára. Mivel az ETag-ek a böngésző gyorsítótárában tárolódnak, és nem törlődnek a hagyományos sütikkel, a szerver képes azonosítani a visszatérő felhasználót az ETag alapján, még akkor is, ha a sütiket törölték.

Ez a módszer kevésbé hatékony, mint az Evercookie, mivel az ETag csak egy adott erőforráshoz (pl. egy logóhoz vagy egy CSS fájlhoz) kötődik, és ha a felhasználó törli a böngésző gyorsítótárát, az ETag is eltűnik. Azonban a legtöbb felhasználó ritkán törli a teljes böngésző gyorsítótárát, így az ETag-ek perzisztenciája mégis jelentős lehet. A hirdetési hálózatok kihasználhatják ezt a mechanizmust, hogy azonosítsák a felhasználókat a különböző weboldalakon keresztül, amelyek ugyanazt az ETag-et használják.

DNS Pinning

A DNS (Domain Name System) a web címeinek (pl. www.example.com) IP-címekre (pl. 192.0.2.1) történő fordításáért felel. Amikor egy böngésző lekérdez egy weboldalt, először a DNS-t használja az IP-cím feloldására, majd az eredményt egy ideig a DNS-gyorsítótárában tárolja. A DNS-gyorsítótár célja a weboldalak gyorsabb betöltése, mivel nem kell minden alkalommal újra lekérdezni az IP-címet.

A DNS pinning (vagy DNS rebinding) egy olyan technika, amely kihasználja a DNS-gyorsítótár viselkedését a felhasználók követésére. Egy rosszindulatú szerver rövid TTL (Time-To-Live) értékkel rendelkező DNS rekordot adhat vissza, amely egy ideiglenes IP-címet mutat. Amikor a böngésző lekéri ezt az IP-címet, és az lejár, a szerver egy másik IP-címet adhat vissza ugyanahhoz a domainhez. Azáltal, hogy manipulálják a DNS válaszokat, a támadók potenciálisan arra kényszeríthetik a böngészőt, hogy a felhasználó gépének belső hálózatára mutasson, ami biztonsági kockázatokat rejt.

A DNS pinning szuper-süti kontextusban történő alkalmazása kevésbé elterjedt és bonyolultabb. Lényege, hogy a támadó egyedi DNS rekordokat generálhat a felhasználók számára, amelyek egyedi azonosítókat tartalmaznak, és ezek az azonosítók a DNS gyorsítótárban tárolódnak. A böngésző és az operációs rendszer DNS gyorsítótárának tartóssága miatt ez egyfajta perzisztens azonosítót jelenthet. Ez azonban egy viszonylag ritka és technológiailag komplex szuper-süti forma, főként biztonsági kutatók által vizsgált fenyegetés.

Böngésző-specifikus tárolók (IndexedDB, Web Storage, Service Workers)

A modern webfejlesztés számos új tárolási lehetőséget kínál a böngészők számára, amelyek meghaladják a hagyományos sütik korlátait. Ezek a HTML5 specifikáció részei, és eredetileg a webalkalmazások funkcionalitásának és teljesítményének javítását célozták. Azonban, mint sok más technológia esetében, ezeket is fel lehet használni a felhasználók tartós azonosítására.

* Web Storage (LocalStorage és SessionStorage): Ezek a tárolók kulcs-érték párokat tárolnak a böngészőben. A LocalStorage adatai tartósan megmaradnak, még a böngésző bezárása és újraindítása után is, amíg a felhasználó kifejezetten nem törli őket. A SessionStorage adatai csak az aktuális böngészőmunkamenet idejéig élnek. A LocalStorage a szuper-sütik egyik fő forrása lehet, mivel a hagyományos sütik törlése nem érinti, és nagyobb adatmennyiséget képes tárolni, mint a hagyományos sütik. Egyedi azonosítókat tárolva itt, a weboldalak újra azonosíthatják a felhasználót.
* IndexedDB: Ez egy kliensoldali adatbázis a böngészőben, amely sokkal nagyobb és strukturáltabb adatok tárolására alkalmas, mint a Web Storage. Gyakran használják offline képességekkel rendelkező webalkalmazásokhoz. Az IndexedDB-ben tárolt adatok szintén tartósak, és a hagyományos süti törlése nem távolítja el őket. Ezért az IndexedDB is alkalmas lehet egyedi azonosítók tárolására és a felhasználók tartós követésére.
* Service Workers: A Service Worker egy JavaScript fájl, amely a böngésző és a hálózat között proxyként működik. Lehetővé teszi az offline képességeket, a push értesítéseket és a hálózati kérések feletti finomabb vezérlést. A Service Workerek önmagukban nem tárolnak adatokat, de hozzáférhetnek a Cache Storage API-hoz, ami egy másik tartós tárolási mechanizmus. Ezen keresztül azonosítókat tárolhatnak, és a háttérben futva akár frissíthetik is a felhasználó azonosítóját, még akkor is, ha az adott weboldal nincs nyitva.

Ezek a technológiák azért problémásak a szuper-sütik szempontjából, mert a felhasználók többsége nincs tisztában létezésükkel, és nem tudja, hogyan kezelje vagy törölje az általuk tárolt adatokat. Míg a böngészők kínálnak lehetőséget ezen adatok törlésére (általában a „weboldal adatok törlése” vagy hasonló menüpont alatt), ez gyakran el van rejtve, és nem történik meg automatikusan a sütik törlésével együtt.

Cookieless Tracking Techniques (IP cím, böngésző ujjlenyomat)

Bár nem szigorúan véve szuper-sütik, érdemes megemlíteni azokat a „cookieless tracking” (süti nélküli követés) technikákat, amelyek szintén a felhasználók tartós azonosítására szolgálnak, anélkül, hogy bármilyen adatot tárolnának a felhasználó gépén. Ezek gyakran kombinálódnak a szuper-sütikkel, hogy még robusztusabb követési mechanizmust hozzanak létre.

* IP-cím: Az IP-cím egy egyedi azonosító, amelyet az internetszolgáltató rendel az eszközhöz. Bár az IP-címek változhatnak (különösen dinamikus IP-címek esetén), sok esetben elegendőek a felhasználó földrajzi helyzetének és akár viszonylag tartós azonosításának megállapítására.
* Böngésző ujjlenyomat (Browser Fingerprinting): Ez egy kifinomult technika, amely a böngésző és az eszköz egyedi jellemzőinek (pl. böngésző típusa és verziója, operációs rendszer, telepített betűtípusok, képernyőfelbontás, pluginek, időzóna, nyelvbeállítások, hardveres jellemzők) kombinációját használja fel egy „ujjlenyomat” létrehozására. Ez az ujjlenyomat gyakran annyira egyedi, hogy anélkül is azonosítani tudja a felhasználót, hogy bármilyen adatot tárolna a gépén. Mivel nincs mit törölni, a böngésző ujjlenyomat rendkívül tartós és nehezen kerülhető meg.

Ezek a technikák kiegészítik a szuper-sütiket, és együttesen egy rendkívül ellenálló és nehezen elkerülhető követési ökoszisztémát hoznak létre.

Miért Különösen Problémásak a Szuper-sütik?

A szuper-sütik nem csupán technikai érdekességek, hanem komoly adatvédelmi és etikai aggályokat vetnek fel. Problémás természetük több tényezőből adódik.

Rejtett természet

A hagyományos sütikkel ellentétben, amelyekről a legtöbb felhasználó már hallott, és amelyekről a böngészők is viszonylag jól áttekinthető információkat szolgáltatnak, a szuper-sütik működése rejtve marad a felhasználók többsége előtt. Nem tudják, hol tárolódnak ezek az azonosítók, milyen adatokat tartalmaznak, és ki fér hozzájuk. Ez az átláthatatlanság alapvetően sérti az adatvédelem egyik kulcsfontosságú elvét: az informált beleegyezés jogát. Ha a felhasználó nem tudja, hogy követik, és nem tudja, milyen módszerekkel, akkor nem tud felelős döntést hozni az adatainak kezeléséről.

Nehezen törölhető

Ahogy már említettük, a szuper-sütik egyik fő jellemzője a tartósságuk. Míg egy hagyományos süti törlése egy kattintás, a szuper-sütik eltávolítása sokkal bonyolultabb. Gyakran megköveteli a böngésző gyorsítótárának, a weboldal-specifikus tárolók (LocalStorage, IndexedDB) manuális törlését, vagy akár harmadik féltől származó szoftverek használatát. Sőt, egyes szuper-süti típusok, mint például a böngésző ujjlenyomat, egyáltalán nem törölhetők, mivel nem tárolnak adatot a felhasználó gépén, hanem az eszköz egyedi konfigurációjára épülnek. Ez a nehézkes törölhetőség aláássa a felhasználó azon jogát, hogy „elfelejtsék” őt az interneten.

Felhasználói kontroll hiánya

A szuper-sütik lényegében megkerülik azokat a kontroll mechanizmusokat, amelyeket a böngészők és a felhasználók a hagyományos sütik kezelésére használnak. Ha egy felhasználó úgy dönt, hogy nem engedélyezi a sütiket, vagy törli azokat, elvárja, hogy a nyomon követése megszűnjön. A szuper-sütik azonban ezt az elvárást csapják be, és folyamatos követést biztosítanak a felhasználó tudta és beleegyezése nélkül. Ez a kontroll hiánya nemcsak a magánszféra megsértését jelenti, hanem a digitális állampolgári jogok csorbítását is.

Adatvédelmi aggályok

A legfőbb aggály a szuper-sütikkel kapcsolatban az adatvédelem. A tartós azonosítás lehetősége rendkívül részletes felhasználói profilok létrehozását teszi lehetővé. Ezek a profilok tartalmazhatnak információkat a böngészési előzményekről, az érdeklődési körökről, a vásárlási szokásokról, sőt akár a politikai nézetekről vagy egészségügyi állapotról is, ha a felhasználó ilyen témájú oldalakat látogat. Az ilyen adatok gyűjtése és elemzése súlyos visszaélésekre adhat lehetőséget, például:
* Célzott manipuláció: A részletes profilok alapján a hirdetők és más entitások rendkívül pontosan célozhatják meg a felhasználókat, akár manipulálva is a döntéseiket.
* Árdifferenciálás: Előfordulhat, hogy a weboldalak magasabb árat mutatnak egy termékre vagy szolgáltatásra azoknak a felhasználóknak, akikről tudják, hogy nagyobb valószínűséggel vásárolnak, vagy akik tehetősebbnek tűnnek a böngészési profiljuk alapján.
* Adatszivárgás és visszaélés: Minél több adatot gyűjtenek egy felhasználóról, annál nagyobb a kockázata, hogy ezek az adatok illetéktelen kezekbe kerülnek, vagy rossz célra használják fel őket.
* Diszkrimináció: A profilok alapján történő diszkrimináció is felmerülhet, például hitelbírálatnál, biztosítási díjaknál vagy álláskeresésnél.

A szuper-sütik tehát nem csupán technikai eszközök, hanem komoly fenyegetést jelentenek a digitális magánszférára és az egyéni szabadságra, mivel lehetővé teszik a felhasználók folyamatos, rejtett és gyakran akaratukon kívüli nyomon követését az online térben.

Szuper-sütik Detektálása és Eltávolítása

A szuper-sütik elleni védekezés sokkal összetettebb, mint a hagyományos sütik kezelése, éppen a rejtett és tartós természetük miatt. Azonban léteznek módszerek, amelyekkel a felhasználók csökkenthetik a kockázatot.

Felhasználói szintű módszerek

1. Rendszeres és alapos böngészőtisztítás:
* A legtöbb böngésző kínál lehetőséget a „Teljes böngészési adatok törlése” vagy „Weboldal adatok törlése” funkcióra. Ez általában magában foglalja a sütiket, a gyorsítótárat, az IndexedDB-t, a LocalStorage-t és a Service Worker regisztrációkat is. Fontos, hogy ne csak a sütiket, hanem az összes weboldaladatot törölje a felhasználó.
* Chrome: Beállítások > Adatvédelem és biztonság > Böngészési adatok törlése > Speciális fül > Győződjön meg arról, hogy az „Adatok a webhelyekről és bővítményekről” is be van jelölve.
* Firefox: Beállítások > Adatvédelem és biztonság > Sütik és webhelyadatok > Adatok kezelése… > Itt lehet törölni az egyes webhelyekhez tartozó tárolt adatokat. Az „Adatok törlése…” gomb pedig az összeset törli.

2. Böngészőbővítmények használata:
* Számos böngészőbővítmény létezik, amelyek kifejezetten a követés blokkolására és a szuper-sütik elleni védelemre specializálódtak.
* uBlock Origin: Bár elsősorban reklámblokkoló, hatékonyan blokkolja a nyomkövető szkripteket is, amelyek szuper-sütiket állíthatnak be.
* Privacy Badger: Az Electronic Frontier Foundation (EFF) által fejlesztett bővítmény, amely automatikusan azonosítja és blokkolja a nyomkövetőket, még azokat is, amelyek szuper-süti technológiákat használnak.
* Decentraleyes: Ez a bővítmény helyileg tárolja a gyakran használt CDN (Content Delivery Network) erőforrásokat, így a böngészőnek nem kell külső szerverekhez fordulnia, ami csökkenti a nyomkövetés lehetőségét.
* Cookie AutoDelete: Automatikusan törli a sütiket (és más weboldal adatokat) azután, hogy bezárta az adott lapot, vagy kilépett az oldalról, kivéve azokat, amelyeket engedélyezett.

3. Privát böngészési módok és inkognitó ablakok:
* A privát böngészési módok (pl. Chrome inkognitó, Firefox privát böngészés) ideiglenes munkamenetet hoznak létre, amely a bezáráskor törli a sütiket, a gyorsítótárat és a LocalStorage adatokat. Fontos azonban megjegyezni, hogy ezek nem nyújtanak teljes védelmet a böngésző ujjlenyomat vagy a DNS-alapú követés ellen. A privát mód elsősorban azt akadályozza meg, hogy a helyi böngészési előzményekbe bekerüljenek az adatok.

4. VPN (Virtual Private Network) használata:
* A VPN elrejti az IP-címet, ami a böngésző ujjlenyomat egyik kulcsfontosságú eleme. Bár nem akadályozza meg közvetlenül a szuper-sütik tárolását, megnehezíti a felhasználó azonosítását az IP-cím alapján.

5. Tor böngésző használata:
* A Tor hálózat és a Tor böngésző a legmagasabb szintű anonimitást kínálja. A Tor többszörös titkosításon keresztül irányítja a forgalmat, és blokkolja a Flash-t, a JavaScript bizonyos elemeit, és szigorúan kezeli a sütiket, ezzel jelentősen csökkentve a szuper-sütik és a böngésző ujjlenyomat általi követés kockázatát. Azonban a Tor használata lassabb böngészési élményt nyújthat.

Technikai kihívások

A szuper-sütik detektálása és eltávolítása számos technikai kihívást rejt:
* Sokféleség: Nincs egységes módszer az összes szuper-süti típus azonosítására és kezelésére, mivel különböző technológiákat használnak.
* Rejtett természet: A szuper-sütiket úgy tervezték, hogy a felhasználó észrevétlenül, a háttérben működjenek.
* Dinamikus természet: Az online követési technológiák folyamatosan fejlődnek, új módszerek jelennek meg, és a régieket is adaptálják. Ezért a védekezési stratégiáknak is folyamatosan fejlődniük kell.
* Legális és illegális közötti határ elmosódása: Sok technológia, amelyet szuper-sütikhez használnak (pl. LocalStorage, HSTS), legitim célokra is szolgál, ami megnehezíti a rosszindulatú használat automatikus blokkolását anélkül, hogy a weboldalak funkcionalitását ne befolyásolná.
* Felhasználói tudatosság hiánya: A legtöbb internetfelhasználó nem rendelkezik a szükséges technikai ismeretekkel ahhoz, hogy hatékonyan védekezzen a szuper-sütik ellen, és gyakran még a probléma létezésével sincs tisztában.

A hatékony védekezéshez a felhasználói tudatosság növelése, a böngészők adatvédelmi funkcióinak fejlesztése és a szabályozói nyomás együttesen szükséges.

Jogi és Etikai Kérdések a Szuper-sütik Kapcsán

A szuper-sütik alkalmazása nem csupán technikai, hanem mélyreható jogi és etikai kérdéseket is felvet, különösen a digitális magánszféra és az adatvédelem szempontjából.

Adatvédelmi szabályozások (GDPR, ePrivacy Irányelv)

Az Európai Unió élen jár az adatvédelmi jogszabályok megalkotásában, és a szuper-sütikkel kapcsolatos problémák is beleesnek ezek hatókörébe.

* Általános Adatvédelmi Rendelet (GDPR): A GDPR (General Data Protection Regulation) 2018-ban lépett hatályba, és drasztikusan megváltoztatta az adatkezelés szabályait az EU-ban. A GDPR értelmében minden olyan adat, amely egy azonosítható természetes személyre vonatkozik, személyes adatnak minősül. Ez magában foglalja az online azonosítókat, mint például a sütik, és implicit módon a szuper-sütik azonosítóit is, ha azok egy adott felhasználóhoz köthetők.
* A beleegyezés elve: A GDPR egyik alapkövetelménye, hogy a személyes adatok kezeléséhez (beleértve a gyűjtést és a tárolást is) a felhasználó egyértelmű, tájékozott és önkéntes hozzájárulása szükséges. A szuper-sütik rejtett és nehezen törölhető természete miatt rendkívül nehéz, ha nem lehetetlen, megfelelni ennek a követelménynek. Hogyan adhat valaki tájékozott beleegyezést valamihez, amiről nem is tud?
* Az átláthatóság követelménye: A GDPR előírja, hogy az adatkezelésnek átláthatónak kell lennie. A felhasználóknak tudniuk kell, hogy milyen adataikat gyűjtik, milyen célból, és ki fér hozzájuk. A szuper-sütik éppen az átláthatóság hiányával problémásak.
* Az adatok törléséhez való jog (a „feledéshez való jog”): A GDPR biztosítja a felhasználók számára a jogot, hogy kérjék adataik törlését. A szuper-sütik perzisztenciája és nehéz törölhetősége közvetlenül ellentmond ennek a jognak.
* Adatkezelő felelőssége: A weboldalak és hirdetési hálózatok, amelyek szuper-sütiket használnak, adatkezelőnek minősülnek, és felelősek a GDPR előírásainak betartásáért. Ennek megsértése súlyos bírságokat vonhat maga után.

* ePrivacy Irányelv („Cookie Irányelv”): Az ePrivacy Irányelv (2002/58/EC), amelyet gyakran „Cookie Irányelvnek” is neveznek, kifejezetten a felhasználói eszközökön történő adatok tárolására és hozzáférésére vonatkozik. Előírja, hogy a sütik és hasonló technológiák (mint amilyenek a szuper-sütik) használatához a felhasználó előzetes beleegyezése szükséges, kivéve, ha az feltétlenül szükséges a felhasználó által kért szolgáltatás nyújtásához. Az ePrivacy Irányelv és a GDPR közötti összhang megteremtése folyamatos kihívás, de az egyértelmű, hogy a szuper-sütik a jelenlegi formájukban nagy valószínűséggel sértik mindkét jogszabályt.

Esettanulmányok és bírságok

Számos eset volt már, ahol a szuper-sütihez hasonló követési technológiák jogi eljárásokat és bírságokat eredményeztek:
* Verizon (2015, USA): Az amerikai távközlési óriás, a Verizon egy „Unique Identifier Header” (UIDH) nevű szuper-süti technológiát használt, amely a mobilszolgáltató hálózatán keresztül beillesztett egy azonosítót a felhasználók webes forgalmába. Ez az azonosító lehetővé tette a felhasználók nyomon követését, függetlenül attól, hogy milyen böngészőt használtak, vagy törölték-e a sütiket. Az amerikai Szövetségi Kommunikációs Bizottság (FCC) 2015-ben 1,35 millió dollárra bírságolta a Verizont a felhasználók tájékoztatásának és beleegyezésének hiánya miatt.
* X-Art (2020, Hollandia): A holland adatvédelmi hatóság (AP) 2020-ban 50 000 euróra bírságolta az X-Art nevű weboldalt, amiért Flash sütiket használtak a felhasználók nyomon követésére, anélkül, hogy megfelelő tájékoztatást adtak volna, vagy beleegyezést kértek volna. Bár a Flash már elavult, az eset rávilágított arra, hogy a hatóságok komolyan veszik a szuper-sütik alkalmazását.
* Német adatvédelmi hatóságok (különböző esetek): Németországban több regionális adatvédelmi hatóság is fellépett olyan weboldalak ellen, amelyek a LocalStorage-t vagy más perszisztens tárolókat használtak felhasználói azonosítók tárolására a GDPR és az ePrivacy irányelv megsértésével.

Ezek az esetek azt mutatják, hogy a szabályozó hatóságok egyre inkább fókuszálnak a rejtett nyomkövetési technológiákra, és a weboldalaknak és hirdetési hálózatoknak komolyan kell venniük a jogi megfelelőséget.

Etikai dilemma: üzleti érdek vs. magánszféra

A szuper-sütik alkalmazása egy mélyebb etikai dilemmát tükröz a digitális gazdaságban: az üzleti érdekek (célzott hirdetésekből származó bevétel, felhasználói élmény optimalizálása) és a felhasználók magánszférához való joga közötti feszültséget.

* Az üzleti oldal érvei: A hirdetési hálózatok és weboldalak gyakran azzal érvelnek, hogy a felhasználói adatok gyűjtése és elemzése elengedhetetlen a releváns hirdetések megjelenítéséhez, ami fenntartja az ingyenes online tartalmakat és szolgáltatásokat. Azt is állítják, hogy a felhasználói profilok segítenek a weboldalak optimalizálásában és a személyre szabott élmény nyújtásában. A szuper-sütik a cookie-k blokkolása vagy törlése esetén is biztosítják ezt a folytonosságot.
* A magánszféra védelmezőinek érvei: A magánszféra védelmezői szerint az egyénnek joga van ahhoz, hogy ellenőrizze a róla gyűjtött adatokat, és hogy ne kövessék nyomon akarata ellenére. A rejtett és kitörölhetetlen követés sérti az autonómiát és a méltóságot. Az „ingyenes” szolgáltatások ára nem lehet a teljes adatvédelmi kontroll feladása.

A szuper-sütik megjelenése és elterjedése rávilágított arra, hogy a technológiai fejlődés gyakran megelőzi a jogi és etikai keretek kialakulását. A digitális társadalomnak közösen kell megtalálnia az egyensúlyt az innováció, a gazdasági érdekek és az alapvető emberi jogok, mint a magánszféra védelme között. Ez magában foglalja a technológiai fejlesztők, a jogalkotók és maguknak a felhasználóknak a felelősségét is.

A Szuper-sütik Történelmi Kontextusa és Fejlődése

A szuper-sütik története szorosan összefonódik az internetes hirdetési iparág fejlődésével és a felhasználói követési technológiák folyamatos evolúciójával. Nem egy hirtelen felbukkanó jelenség, hanem a „cookie-háborúk” és a magánszféra védelméért folytatott küzdelem egyfajta mellékterméke.

A kezdetek és a Flash LSO térhódítása

A 2000-es évek elején, amikor az internetes hirdetések kezdtek igazán elterjedni, a hagyományos HTTP sütik voltak az elsődleges eszközök a felhasználók azonosítására és nyomon követésére. Azonban a felhasználók hamar megtanulták, hogyan töröljék ezeket a sütiket, ami problémát jelentett a hirdetők számára, akik tartós azonosítókat szerettek volna.

Ekkor lépett színre az Adobe Flash Player és annak Local Shared Objects (LSO) funkciója. A Flash volt akkoriban a multimédiás webes tartalom (videók, játékok, interaktív hirdetések) domináns platformja. Az LSO-k bevezetése lehetővé tette a Flash alkalmazások számára, hogy nagyobb adatmennyiséget tároljanak a felhasználó gépén, mint a hagyományos sütik, és ami a legfontosabb, a böngésző süti-törlési funkciója nem érintette őket. Ez azonnal vonzóvá tette őket a hirdetési hálózatok számára, mint egy „megkerülhetetlen” követési mechanizmust.

A Flash LSO-k gyorsan elterjedtek, és számos weboldal és hirdetési partner kezdte el használni őket az „örökéletű” felhasználói azonosítók tárolására. Ez a gyakorlat vált az első széles körben ismert szuper-süti problémává, és komoly felháborodást váltott ki az adatvédelmi aktivisták körében. Az LSO-k miatt a felhasználók nem tudták hatékonyan törölni a követő azonosítókat, még akkor sem, ha rendszeresen törölték a böngészőjük sütijeit.

Az iparág válasza és a technológiai fejlődés

A Flash LSO-k térhódítására válaszul a böngészőgyártók és az adatvédelmi közösség is lépéseket tett.
* Böngészőfrissítések: A böngészők elkezdtek funkciókat bevezetni a Flash LSO-k és más persistent tárolók kezelésére és törlésére. Ez azonban gyakran el volt rejtve a felhasználói felületen, vagy nem volt automatikus.
* A Flash hanyatlása: Ahogy a webes technológiák fejlődtek (különösen a HTML5, CSS3 és JavaScript ereje), a Flash Player relevanciája fokozatosan csökkent. Az Apple döntése, hogy nem támogatja a Flash-t az iPhone-on és iPad-en, jelentős mérföldkő volt. Végül az Adobe maga is bejelentette, hogy 2020 végén leállítja a Flash Player támogatását. Ez a lépés hatékonyan felszámolta a Flash LSO-kat mint jelentős szuper-süti fenyegetést.

Azonban a Flash hanyatlása nem jelentette a szuper-sütik végét, csupán a technológia változását. A hirdetési iparág és a nyomkövető vállalatok gyorsan új módszerek után néztek, kihasználva a HTML5 által kínált új tárolási lehetőségeket (LocalStorage, IndexedDB, Service Workers) és a hálózati protokollok (HSTS, ETag) rejtett aspektusait. Ezek az új típusú szuper-sütik gyakran még nehezebben detektálhatók és törölhetők voltak, mint a Flash LSO-k, mivel integráltabbak voltak a böngésző alapvető működésébe.

Ezzel párhuzamosan fejlődött a „cookieless tracking” is, különösen a böngésző ujjlenyomat technológia, amely egyáltalán nem támaszkodott helyi tárolásra, hanem a felhasználó egyedi böngésző- és eszközkonfigurációját használta az azonosításra. Ez a technológia különösen ellenálló a hagyományos adatvédelmi intézkedésekkel szemben.

A „cookie-mentes jövő” és a szuper-sütik szerepe

Az elmúlt években a böngészőgyártók (különösen a Firefox és a Safari, majd később a Chrome) egyre nagyobb hangsúlyt fektettek a harmadik féltől származó sütik blokkolására vagy korlátozására. A Google Chrome bejelentette, hogy 2024-től fokozatosan kivezeti a harmadik féltől származó sütiket. Ez a „cookie-mentes jövő” felé vezető út.

Ez a változás azonban paradox módon növelheti a szuper-sütik és más alternatív követési módszerek iránti érdeklődést. Ha a hagyományos sütik többé nem állnak rendelkezésre a cross-site követéshez, a hirdetési iparág még inkább rákényszerülhet arra, hogy kifinomultabb és rejtettebb technikákat alkalmazzon a felhasználók azonosítására. A böngésző ujjlenyomat, a LocalStorage és IndexedDB alapú szuper-sütik, valamint az IP-cím alapú azonosítás várhatóan még nagyobb szerepet kapnak ebben az új környezetben.

A szuper-sütik története tehát a macska-egér játék története: a nyomkövetők folyamatosan új módszereket találnak, hogy azonosítsák a felhasználókat, míg az adatvédelmi aktivisták, a böngészőgyártók és a szabályozó hatóságok igyekeznek lépést tartani és megvédeni a felhasználók magánszféráját. Ez a folyamatos verseny alakítja az online adatvédelem jövőjét.

A Szuper-sütik Jövője és az Online Követés Evolúciója

Ahogy az online környezet és a technológia fejlődik, úgy változnak a felhasználói követés módszerei is. A szuper-sütik, mint a perzisztens azonosítás eszközei, valószínűleg továbbra is relevánsak maradnak, de formájuk és alkalmazásuk módja változhat.

A harmadik féltől származó sütik kivezetése

A Google Chrome bejelentése, miszerint fokozatosan kivezeti a harmadik féltől származó sütiket, alapjaiban rengeti meg az online hirdetési iparágat. A Safari és a Firefox már évek óta alkalmaz hasonló korlátozásokat. Ez a lépés egyértelműen a felhasználói adatvédelem javítását célozza, mivel a harmadik féltől származó sütik a cross-site (webhelyek közötti) követés legfőbb eszközei voltak.

Azonban a hirdetési iparág hatalmas bevételt generál a célzott reklámokból, és várhatóan nem fogja feladni a felhasználók megismerésére irányuló törekvéseit. Ez a „cookie-mentes jövő” paradox módon új lendületet adhat a szuper-sütik és más alternatív követési mechanizmusok fejlesztésének és alkalmazásának. Ha a hagyományos eszközök megszűnnek, a vállalatok még inkább a rejtettebb és nehezebben kontrollálható módszerek felé fordulhatnak.

Új követési mechanizmusok és a supercookie-szerű megoldások potenciálja

A jövőben várhatóan a következő trendek dominálnak majd a felhasználói követésben:
* Böngésző ujjlenyomat (Browser Fingerprinting) fejlődése: Mivel ez a technika nem tárol adatot a felhasználó gépén, hanem az eszköz egyedi konfigurációjára épül, rendkívül ellenálló a hagyományos adatvédelmi intézkedésekkel szemben. Várhatóan még kifinomultabb ujjlenyomat-algoritmusok jelennek meg, amelyek még pontosabb azonosítást tesznek lehetővé.
* Adatkezelési platformok (DMP-k és CDP-k) megerősödése: A vállalatok még inkább a saját adatgyűjtésükre és „first-party” adataikra fognak támaszkodni. Ezeket az adatokat aztán összekapcsolhatják különböző forrásokból származó információkkal, hogy átfogó profilokat hozzanak létre.
* Federated Learning és Privacy Sandbox: A Google olyan kezdeményezéseket indított, mint a Privacy Sandbox, amelynek célja, hogy alternatívákat kínáljon a célzott hirdetésekhez a felhasználói magánszféra védelme mellett. Ezek a technológiák csoportos szinten gyűjtenek adatokat, hogy anonimizált és aggregált információkat szolgáltassanak a hirdetőknek, anélkül, hogy egyedi felhasználókat azonosítanának. Azonban ezeknek a megoldásoknak a hatékonysága és adatvédelmi garanciái még vita tárgyát képezik.
* Cookieless azonosítók a szerveroldalon: A vállalatok egyre inkább a szerveroldali azonosítókra támaszkodhatnak, amelyek a felhasználó IP-címét, felhasználói ügynökét és más, a szerver számára elérhető információkat használják fel az azonosításhoz. Ez a módszer szintén „szuper-süti-szerű” perzisztenciát kínálhat, mivel a felhasználó nem tudja törölni ezeket az azonosítókat a saját eszközéről.
* Mobilazonosítók (GAID, IDFA): A mobilalkalmazások világában a felhasználói követés gyakran az operációs rendszer által biztosított mobilazonosítókon (Google Advertising ID Androidon, IDFA iOS-en) keresztül történik. Bár ezeket a felhasználó alaphelyzetbe állíthatja, a gyakorlatban sokan nem teszik meg, és az alkalmazások közötti követésre használhatók.

A szuper-sütik fogalma tehát valószínűleg tágulni fog, magában foglalva minden olyan mechanizmust, amely a felhasználó tudta és hatékony kontrollja nélkül, tartósan képes azonosítani az egyént az online térben. A hangsúly a „perzisztencia” és a „kontrollhiány” szavakon van.

Adatvédelem és innováció egyensúlya

A jövő nagy kihívása az lesz, hogy megtaláljuk az egyensúlyt az online gazdaság fenntartásához szükséges innováció és a felhasználók alapvető adatvédelmi jogai között. Ez nem csak a technológiai megoldásokon múlik, hanem a jogalkotók, a vállalatok és a felhasználók kollektív felelősségén is.
* Szabályozás: A jogszabályoknak folyamatosan alkalmazkodniuk kell az új technológiákhoz. A GDPR és az ePrivacy irányelv jó alapokat teremtenek, de szükség van a végrehajtás megerősítésére és az új típusú követési technikák egyértelmű szabályozására.
* Böngészőgyártók felelőssége: A böngészők kulcsszerepet játszanak a felhasználók védelmében. Folyamatosan fejleszteniük kell az adatvédelmi funkciókat, és proaktívan blokkolniuk kell a kártékony követési módszereket.
* Iparági önszabályozás: A hirdetési iparágnak felelősségteljesebb gyakorlatokat kell bevezetnie, amelyek tiszteletben tartják a felhasználók magánszféráját.

A felhasználói tudatosság szerepe

Végül, de nem utolsósorban, a felhasználói tudatosság növelése elengedhetetlen. Minél többen értik meg, hogyan működik az online követés, milyen kockázatokkal jár, és milyen eszközök állnak rendelkezésükre a védekezésre, annál nagyobb nyomás nehezedik majd a vállalatokra és a jogalkotókra a változtatásra. A szuper-sütik és más rejtett követési mechanizmusok elleni küzdelem végső soron a digitális szabadság és az önrendelkezés védelméért folytatott küzdelem része.