hotchpotch/wikipedia-multilingual-ir-pairs huggingface dataset:
ملف تعريف ارتباط التنفيذ
تحدد سمات Domain Path نطاق ملف تعريف الارتباط. في الأساس، يخبرون المتصفح بالموقع الذي ينتمي إليه ملف تعريف الارتباط. لأسباب أمنية، لا يمكن تعيين ملفات تعريف الارتباط إلا على النطاق العلوي للمورد الحالي ونطاقاته الفرعية، وليس لنطاق آخر ونطاقاته الفرعية. على سبيل المثال، لا يمكن لموقع الويب example.org تعيين ملف تعريف ارتباط يحتوي على نطاق foo.com لأن هذا من شأنه أن يسمح لموقع الويب example.org بالتحكم في ملفات تعريف الارتباط الخاصة بالنطاق foo.com.
ملف تعريف ارتباط التنفيذ
إذا لم يتم تحديد سمات Domain Path لملف تعريف الارتباط بواسطة الخادم، فسيتم تعيينها افتراضيًا على المجال ومسار المورد المطلوب. ومع ذلك، في معظم المتصفحات هناك فرق بين مجموعة ملفات تعريف الارتباط من foo.com بدون نطاق، ومجموعة ملفات تعريف الارتباط مع نطاق foo.com. في الحالة الأولى، سيتم إرسال ملف تعريف الارتباط فقط للطلبات الموجهة إلى foo.com، والمعروف أيضًا باسم ملف تعريف الارتباط المخصص للمضيف فقط. في الحالة الأخيرة، يتم أيضًا تضمين جميع المجالات الفرعية (على سبيل المثال، docs.foo.com). الاستثناء الملحوظ لهذه القاعدة العامة هو Edge قبل Windows 10 RS3 وإنترنت إكسبلورر قبل IE 11 وWindows 10 RS4 (أبريل 2018)، والذي يرسل دائمًا ملفات تعريف الارتباط إلى المجالات الفرعية بغض النظر عما إذا كان ملف تعريف الارتباط قد تم تعيينه مع أو بدون مجال.
فيما يلي مثال لبعض حقول رأس Set-Cookie في استجابة بروتوكول نقل النص الفائق لموقع ويب بعد تسجيل دخول المستخدم. تم إرسال طلب بروتوكول نقل النص الفائق إلى صفحة ويب ضمن المجال الفرعي docs.foo.com :
ملف تعريف ارتباط التنفيذ
ملف تعريف الارتباط الأول، LSID، ليس له سمة Domain، ولديه سمة Path تم تعيينها على /accounts. يخبر هذا المتصفح باستخدام ملف تعريف الارتباط فقط عند طلب الصفحات الموجودة في docs.foo.com/accounts (يتم اشتقاق النطاق من نطاق الطلب). سيتم استخدام ملفي تعريف الارتباط الآخرين، HSID و SSID، عندما يطلب المتصفح أي نطاق فرعي في.foo.com على أي مسار (على سبيل المثال www.foo.com/bar). تعتبر النقطة المسبقة اختيارية في المعايير الحديثة، ولكن يمكن إضافتها لتحقيق التوافق مع التنفيذات المستندة إلى آر إف سي 2109.
تعرف سمة Expires تاريخًا ووقتًا محددين يجب على المتصفح أن يحذف فيهما ملف تعريف الارتباط. يتم تحديد التاريخ والوقت في النموذج Wdy, DD Mon YYYY HH:MM:SS GMT، أو في النموذج Wdy, DD Mon YY HH:MM:SS GMT لقيم YY حيث YY أكبر من أو يساوي 0 وأقل من أو يساوي 69.
ملف تعريف ارتباط التنفيذ
بدلاً من ذلك، يمكن استخدام سمة Max-Age لتعيين انتهاء صلاحية ملف تعريف الارتباط كفاصل زمني من الثواني في المستقبل، نسبة إلى الوقت الذي تلقى فيه المتصفح ملف تعريف الارتباط. فيما يلي مثال على ثلاثة حقول رأس Set-Cookie تم استلامها من موقع ويب بعد تسجيل دخول المستخدم:
من المقرر أن تنتهي صلاحية ملف تعريف الارتباط الأول، lu، في 15 يناير 2013. سيتم استخدامه بواسطة متصفح العميل حتى ذلك الوقت. ملف تعريف الارتباط الثاني، made_write_conn، ليس له تاريخ انتهاء صلاحية، مما يجعله ملف تعريف ارتباط جلسة. سيتم حذفه بعد أن يقوم المستخدم بإغلاق المتصفح الخاص به. تم تغيير قيمة ملف تعريف الارتباط الثالث، reg_fb_gate، إلى delete، مع وقت انتهاء صلاحية في الماضي. سيقوم المتصفح بحذف ملف تعريف الارتباط هذا على الفور لأن تاريخ انتهاء صلاحيته قد انتهى. لاحظ أنه سيتم حذف ملف تعريف الارتباط فقط إذا كانت سمات المجال والمسار في حقل Set-Cookie تتطابق مع القيم المستخدمة عند إنشاء ملف تعريف الارتباط.
اعتبارًا من 2016، لم يدعم إنترنت إكسبلورر برنامج Max-Age.
لا تحتوي السمات Secure و HttpOnly على قيم مرتبطة. بل إن وجود أسماء السمات الخاصة بهم فقط يشير إلى أنه ينبغي تمكين سلوكياتهم.
تهدف الخاصية Secure إلى إبقاء اتصال ملفات تعريف الارتباط مقتصرًا على النقل المشفر، وتوجيه المتصفحات لاستخدام ملفات تعريف الارتباط فقط عبر الاتصالات الآمنة/المشفرة. ومع ذلك، إذا قام خادم الويب بتعيين ملف تعريف ارتباط بسمة آمنة من اتصال غير آمن، فما زال من الممكن اعتراض ملف تعريف الارتباط عندما يتم إرساله إلى المستخدم من خلال هجمات الرجل في المنتصف. لذلك، للحصول على أقصى قدر من الأمان، يجب تعيين ملفات تعريف الارتباط ذات السمة Secure فقط عبر اتصال آمن.
تأمر السمة HttpOnly المتصفحات بعدم عرض ملفات تعريف الارتباط من خلال قنوات أخرى غير طلبات بروتوكول نقل النص الفائق (وبروتوكول نقل النص الفائق الآمن). وهذا يعني أن ملف تعريف الارتباط لا يمكن الوصول إليه عبر لغات البرمجة النصية من جانب العميل (خاصة جافا سكريبت)، وبالتالي لا يمكن سرقته بسهولة عبر البرمجة النصية عبر المواقع (تقنية هجوم شاملة).
ملف تعريف ارتباط إعدادات المتصفح
تدعم معظم المتصفحات الحديثة ملفات تعريف الارتباط وتسمح للمستخدم بتعطيلها. فيما يلي بعض الخيارات الشائعة:
تتوفر أيضًا أدوات إضافية لإدارة أذونات ملفات تعريف الارتباط.
ملف تعريف ارتباط ملف تعريف الارتباط الخاص بطرف ثالث
تتمتع ملفات تعريف الارتباط ببعض التأثيرات المهمة على خصوصية مستخدمي الويب وإخفاء هويتهم. على الرغم من أن ملفات تعريف الارتباط يتم إرسالها فقط إلى الخادم الذي يقوم بإعدادها أو إلى خادم في نفس نطاق الإنترنت، فقد تحتوي صفحة الويب على صور أو مكونات أخرى مخزنة على خوادم في نطاقات أخرى. تُسمى ملفات تعريف الارتباط التي يتم تعيينها أثناء استرجاع هذه المكونات بملفات تعريف الارتباط الخاصة بالجهات الخارجية. ملف تعريف الارتباط الخاص بطرف ثالث، ينتمي إلى مجال مختلف عن المجال الموضح في شريط العناوين. يظهر هذا النوع من ملفات تعريف الارتباط عادةً عندما تعرض صفحات الويب محتوى من مواقع ويب خارجية، مثل إعلانات الشعارات. يفتح هذا المجال لتتبع سجل تصفح المستخدم ويستخدمه المعلنون لتقديم إعلانات ذات صلة بكل مستخدم.
ملف تعريف ارتباط ملف تعريف الارتباط الخاص بطرف ثالث
على سبيل المثال، لنفترض أن المستخدم يزور www.example.org. يحتوي هذا الموقع على إعلان من ad.foxytracking.com، والذي عند تنزيله، يقوم بتعيين ملف تعريف ارتباط ينتمي إلى نطاق الإعلان (ad.foxytracking.com). ثم يقوم المستخدم بزيارة موقع ويب آخر، www.foo.com، والذي يحتوي أيضًا على إعلان من ad.foxytracking.com ويقوم بتعيين ملف تعريف ارتباط ينتمي إلى هذا المجال (ad.foxytracking.com). في النهاية، سيتم إرسال كلا ملفات تعريف الارتباط هذه إلى المعلن عند تحميل إعلاناته أو زيارة موقعه الإلكتروني. يمكن للمعلن بعد ذلك استخدام ملفات تعريف الارتباط هذه لإنشاء سجل تصفح للمستخدم عبر جميع مواقع الويب التي تحتوي على إعلانات من هذا المعلن، من خلال استخدام حقل رأس حقل المرجع في ترويسة بروتوكول نقل النص الفائق.
اعتبارًا من 2014، كانت بعض المواقع الإلكترونية تقوم بتعيين ملفات تعريف الارتباط لتكون قابلة للقراءة لأكثر من 100 نطاق تابع لجهة خارجية. في المتوسط، كان موقع إلكتروني واحد يقوم بتعيين 10 ملفات تعريف ارتباط، مع وصول الحد الأقصى لعدد ملفات تعريف الارتباط (التابعة للجهات الخارجية والأولي) إلى أكثر من 800.
ملف تعريف ارتباط ملف تعريف الارتباط الخاص بطرف ثالث
توصي المعايير الأقدم لملفات تعريف الارتباط، آر إف سي 2109 وآر إف سي 2965، بأن تحمي المتصفحات خصوصية المستخدم ولا تسمح بمشاركة ملفات تعريف الارتباط بين الخوادم بشكل افتراضي. ومع ذلك، فإن المعيار الأحدث، آر إف سي 6265، يسمح صراحةً لوكلاء المستخدم بتنفيذ سياسة ملفات تعريف الارتباط الخاصة بطرف ثالث التي يرغبون فيها. تحتوي معظم متصفحات الويب الحديثة على إعدادات خصوصية ‏ يمكنها حظر ملفات تعريف الارتباط التابعة لجهات خارجية. منذ عام 2020، قامت سفاري، فيرفكس، وبريف بحظر جميع ملفات تعريف الارتباط التابعة لجهات خارجية بشكل افتراضي. يتيح سفاري للمواقع المضمنة استخدام واجهة برمجة تطبيقات الوصول إلى التخزين لطلب الإذن لتعيين ملفات تعريف الارتباط الخاصة بالطرف الأول. في مايو 2020، قدم جوجل كروم 83 ميزات جديدة لحظر ملفات تعريف الارتباط التابعة لجهات خارجية بشكل افتراضي في وضع التصفح المتخفي للتصفح الخاص، مما يجعل الحظر اختياريًا أثناء التصفح العادي. أضاف نفس التحديث أيضًا خيارًا لحظر ملفات تعريف الارتباط الخاصة بالطرف الأول. في أبريل 2024، أرجأ كروم حظر ملفات تعريف الارتباط التابعة لجهات خارجية بشكل افتراضي إلى عام 2025. في يوليو 2024، أعلنت جوجل عن خطة لتجنب حظر ملفات تعريف الارتباط الخاصة بالأطراف الثالثة بشكل افتراضي وبدلًا من ذلك مطالبة المستخدمين بالسماح بملفات تعريف الارتباط الخاصة بالأطراف الثالثة.
ملف تعريف ارتباط الخصوصية
تُشكّل إمكانية إنشاء ملف تعريف شخصي للمستخدمين تهديدًا للخصوصية، خاصةً عند إجراء التتبع عبر نطاقات متعددة باستخدام ملفات تعريف ارتباط تابعة لجهات خارجية. لهذا السبب، وضعت بعض الدول تشريعات بشأن ملفات تعريف الارتباط.
إن مشغلي مواقع الويب الذين لا يكشفون عن استخدام ملفات تعريف الارتباط الخاصة بأطراف ثالثة للمستهلكين يواجهون خطر الإضرار بثقة المستهلك إذا تم اكتشاف استخدام ملفات تعريف الارتباط. يؤدي الإفصاح الواضح (مثل سياسة الخصوصية) إلى القضاء على أي آثار سلبية لاكتشاف ملفات تعريف الارتباط هذه.[إخفاق التحقق]
ملف تعريف ارتباط الخصوصية
وضعت حكومة الولايات المتحدة قواعد صارمة بشأن إعداد ملفات تعريف الارتباط في عام 2000 بعد الكشف عن أن مكتب سياسة المخدرات في البيت الأبيض استخدم ملفات تعريف الارتباط لتتبع مستخدمي الكمبيوتر الذين يشاهدون إعلاناتها المناهضة للمخدرات عبر الإنترنت. في عام 2002، اكتشف الناشط في مجال الخصوصية دانييل براندت أن وكالة المخابرات المركزية كانت تترك ملفات تعريف ارتباط دائمة على أجهزة الكمبيوتر التي زارت موقعها على شبكة الإنترنت. عندما تم إخطارها بأنها تنتهك السياسة، ذكرت وكالة المخابرات المركزية أن ملفات تعريف الارتباط هذه لم يتم تعيينها عمدًا وتوقفت عن تعيينها. في 25 ديسمبر 2005، اكتشف براندت أن وكالة الأمن القومي كانت تترك ملفين تعريف ارتباط دائمين على أجهزة الكمبيوتر الخاصة بالزائرين بسبب ترقية البرنامج. بعد إبلاغها، قامت وكالة الأمن القومي على الفور بتعطيل ملفات تعريف الارتباط.
ملف تعريف ارتباط الخصوصية
في عام 2002، أطلق الاتحاد الأوروبي التوجيه بشأن الخصوصية والاتصالات الإلكترونية (توجيه الخصوصية الإلكترونية)، وهي سياسة تتطلب موافقة المستخدمين النهائيين على وضع ملفات تعريف الارتباط، والتقنيات المماثلة لتخزين المعلومات والوصول إليها على معدات المستخدمين. وعلى وجه الخصوص، تنص الفقرة 3 من المادة 5 على أنه لا يجوز تخزين البيانات غير الضرورية من الناحية الفنية على جهاز كمبيوتر المستخدم إلا إذا تم تزويد المستخدم بمعلومات حول كيفية استخدام هذه البيانات، ومنح المستخدم إمكانية رفض عملية التخزين هذه. لا يتطلب التوجيه من المستخدمين تفويض أو إخطارهم باستخدام ملفات تعريف الارتباط المطلوبة وظيفيًا لتقديم الخدمة التي طلبوها، على سبيل المثال للاحتفاظ بالإعدادات أو تخزين جلسات تسجيل الدخول أو تذكر ما هو موجود في سلة التسوق الخاصة بالمستخدم.
ملف تعريف ارتباط الخصوصية
وفي عام 2009، تم تعديل القانون بموجب التوجيه 2009/136/إي سي، الذي تضمن تغييراً في المادة 5، الفقرة 3. بدلاً من توفير خيار للمستخدمين لاختيار عدم تخزين ملفات تعريف الارتباط، يتطلب التوجيه المنقح الحصول على موافقة لتخزين ملفات تعريف الارتباط. يتم ربط تعريف الموافقة بالتعريف الوارد في قانون حماية البيانات الأوروبي، أولاً توجيه حماية البيانات لعام 1995 ثم اللائحة العامة لحماية البيانات (GDPR). وبما أن تعريف الموافقة قد تم تعزيزه في نص اللائحة العامة لحماية البيانات، فقد كان لهذا تأثير في زيادة جودة الموافقة المطلوبة من قبل أولئك الذين يقومون بتخزين المعلومات والوصول إليها مثل ملفات تعريف الارتباط على أجهزة المستخدمين. ومع ذلك، في قضية تم الفصل فيها بموجب توجيه حماية البيانات، أكدت محكمة العدل التابعة للاتحاد الأوروبي في وقت لاحق أن القانون السابق كان يتضمن نفس الجودة القوية للموافقة مثل الصك الحالي. بالإضافة إلى متطلب الموافقة الذي ينبع من تخزين المعلومات أو الوصول إليها على جهاز المستخدم، فإن المعلومات الموجودة في العديد من ملفات تعريف الارتباط ستعتبر بيانات شخصية بموجب اللائحة العامة لحماية البيانات وحدها، وستتطلب أساسًا قانونيًا للمعالجة. لقد كان هذا هو الحال منذ توجيه حماية البيانات لعام 1995، والذي استخدم تعريفًا متطابقًا للبيانات الشخصية، على الرغم من أن اللائحة العامة لحماية البيانات في الفقرة التفسيرية 30 توضح أن معرفات ملفات تعريف الارتباط مشمولة. في حين أن معالجة البيانات بموجب اللائحة العامة لحماية البيانات لا تتطلب الموافقة، فإن خصائص الإعلان السلوكي تعني أنه من الصعب أو المستحيل تبريره تحت أي سبب آخر.
ملف تعريف ارتباط الخصوصية
يجب أن تفي الموافقة بموجب الجمع بين اللائحة العامة لحماية البيانات وتوجيه الخصوصية الإلكترونية بعدد من الشروط فيما يتعلق بملفات تعريف الارتباط. يجب أن يتم تقديمها بحرية ولا لبس فيها: تم حظر المربعات المحددة مسبقًا بموجب كل من توجيه حماية البيانات لعام 1995 واللائحة العامة لحماية البيانات (الفقرة 32). ينص قانون حماية البيانات العامة (GDPR) بشكل واضح على أن الموافقة يجب أن تكون «سهلة السحب مثلها مثل منحها»، وهذا يعني أن زر «رفض الكل» يجب أن يكون من السهل الوصول إليه من حيث النقرات والرؤية مثل زر «قبول الكل». يجب أن تكون محددة ومستنيرة، بمعنى أن الموافقة تتعلق بأغراض معينة لاستخدام هذه البيانات، ويجب تسمية جميع المنظمات التي تسعى إلى استخدام هذه الموافقة على وجه التحديد. كما قضت محكمة العدل التابعة للاتحاد الأوروبي بأن الموافقة يجب أن تكون «فعّالة وفي الوقت المناسب»، وهذا يعني أنه يجب الحصول عليها قبل وضع ملفات تعريف الارتباط وبدء معالجة البيانات بدلاً من الحصول عليها بعد ذلك.
ملف تعريف ارتباط الخصوصية
وكانت استجابة الصناعة سلبية إلى حد كبير. ويصف روبرت بوند من شركة المحاماة «سبيتشلي بيرشام» التأثيرات بأنها «واسعة النطاق ومكلفة بشكل لا يصدق» بالنسبة «لجميع الشركات في المملكة المتحدة». يزعم سيمون ديفيس من منظمة الخصوصية الدولية أن التنفيذ السليم من شأنه أن «يدمر الصناعة بأكملها». ومع ذلك، يلاحظ العلماء أن الطبيعة المرهقة للنوافذ المنبثقة لملفات تعريف الارتباط تنبع من محاولة الاستمرار في تشغيل نموذج الأعمال من خلال الطلبات المعقدة التي قد تكون غير متوافقة مع اللائحة العامة لحماية البيانات.
ملف تعريف ارتباط الخصوصية
وتشير الدراسات الأكاديمية والهيئات التنظيمية إلى وجود عدم امتثال واسع النطاق للقانون. أظهرت دراسة قامت بمسح 10000 موقع ويب في المملكة المتحدة أن 11.8% فقط من المواقع تلتزم بالمتطلبات القانونية الدنيا، مع توفير 33.4% فقط من المواقع التي تمت دراستها آلية لرفض ملفات تعريف الارتباط كانت سهلة الاستخدام مثل قبولها. أظهرت دراسة أجريت على 17000 موقع ويب أن 84% من المواقع انتهكت هذا المعيار، بالإضافة إلى ذلك وجدت أن العديد منها وضعت ملفات تعريف الارتباط الخاصة بأطراف ثالثة دون إشعار على الإطلاق. صرحت الجهة التنظيمية في المملكة المتحدة، مكتب مفوض المعلومات ‏، في عام 2019 أن «إطار الشفافية والموافقة» للصناعة من مجموعة تكنولوجيا الإعلان، مكتب الإعلان التفاعلي، «غير كافٍ لضمان الشفافية والمعالجة العادلة للبيانات الشخصية المعنية، وبالتالي غير كافٍ أيضًا لتوفير الموافقة الحرة والمستنيرة، مع ما يترتب على ذلك من آثار على الامتثال للخصوصية الإلكترونية (PECR)». تسمح العديد من الشركات التي تبيع حلول الامتثال (منصات إدارة الموافقة) بتكوينها بطرق غير قانونية بشكل واضح، وهو ما لاحظه العلماء ويثير تساؤلات حول التخصيص المناسب للمسؤولية.
ملف تعريف ارتباط الخصوصية
تم اقتراح مواصفات رابطة الشبكة العالمية تسمى بي 3 بي للخوادم لتوصيل سياسة الخصوصية الخاصة بها إلى المتصفحات، مما يسمح بالتعامل التلقائي القابل للتكوين من قبل المستخدم. ومع ذلك، فإن عددًا قليلًا من المواقع الإلكترونية تنفذ المواصفات، وقد أوقفت رابطة الشبكة العالمية العمل على المواصفات.
يمكن حظر ملفات تعريف الارتباط الخاصة بجهات خارجية بواسطة معظم المتصفحات لزيادة الخصوصية وتقليل التتبع بواسطة شركات الإعلان والتتبع دون التأثير سلبًا على تجربة الويب للمستخدم على جميع المواقع. تستخدم بعض المواقع «جدران ملفات تعريف الارتباط»، والتي تجعل الوصول إلى الموقع مشروطًا بالسماح بملفات تعريف الارتباط إما من الناحية الفنية في المتصفح، أو من خلال الضغط على «قبول»، أو كليهما. في عام 2020، أعلن مجلس حماية البيانات الأوروبي، الذي يتألف من جميع الجهات التنظيمية لحماية البيانات في الاتحاد الأوروبي، أن جدران ملفات تعريف الارتباط غير قانونية.
من أجل منح الموافقة بحرية، لا ينبغي أن يكون الوصول إلى الخدمات والوظائف مشروطًا بموافقة المستخدم على تخزين المعلومات، أو الوصول إلى المعلومات المخزنة بالفعل، في الجهاز الطرفي للمستخدم (ما يسمى بجدران ملفات تعريف الارتباط).
لدى العديد من مشغلي الإعلانات خيار إلغاء الاشتراك في الإعلانات السلوكية، مع وجود ملف تعريف ارتباط عام في المتصفح يوقف الإعلانات السلوكية. ومع ذلك، فإن هذا غالبًا ما يكون غير فعال ضد العديد من أشكال التتبع، مثل التتبع من الطرف الأول الذي يتزايد شعبيته لتجنب تأثير المتصفحات التي تحظر ملفات تعريف الارتباط الخاصة بالأطراف الثالثة. وعلاوة على ذلك، إذا كان مثل هذا الإعداد أكثر صعوبة في وضعه من قبول التتبع، فإنه يظل خرقًا لشروط توجيه الخصوصية الإلكترونية.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
تستخدم معظم مواقع الويب ملفات تعريف الارتباط كمعرفات وحيدة لجلسات المستخدمين، نظرًا لوجود قيود وثغرات أمنية في الطرق الأخرى لتحديد مستخدمي الويب. إذا استخدم موقع ويب ملفات تعريف الارتباط كمعرفات للجلسات، يمكن للمهاجمين انتحال هوية طلبات المستخدمين بسرقة مجموعة كاملة من ملفات تعريف ارتباط الضحايا. من وجهة نظر خادم الويب، يمتلك طلب المهاجم نفس مصادقة طلبات الضحية؛ وبالتالي، يُنفذ الطلب نيابةً عن جلسة الضحية.
مذكورة هنا سيناريوهات مختلفة لسرقة ملفات تعريف الارتباط واختطاف جلسة المستخدم (حتى بدون سرقة ملفات تعريف ارتباط المستخدم) والتي تعمل مع مواقع الويب التي تعتمد فقط على ملفات تعريف الارتباط بروتوكول نقل النص الفائق لتحديد هوية المستخدم.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
يمكن اعتراض حركة المرور على الشبكة وقراءتها بواسطة أجهزة كمبيوتر على الشبكة بخلاف المرسل والمستقبل (خاصة عبر شبكة واي فاي المفتوحة غير المشفرة). يتضمن هذا المرور ملفات تعريف الارتباط المرسلة عبر جلسات بروتوكول نقل النص الفائق غير المشفرة العادية. عندما لا يتم تشفير حركة المرور على الشبكة، يمكن للمهاجمين قراءة اتصالات المستخدمين الآخرين على الشبكة، بما في ذلك ملفات تعريف الارتباط بروتوكول نقل النص الفائق بالإضافة إلى المحتوى الكامل للمحادثات، لغرض شن هجوم الرجل في المنتصف.
يمكن للمهاجم استخدام ملفات تعريف الارتباط التي تم اعتراضها لانتحال شخصية المستخدم وإجراء مهمة ضارة، مثل تحويل الأموال من الحساب المصرفي للضحية.
يمكن حل هذه المشكلة عن طريق تأمين الاتصال بين جهاز الكمبيوتر الخاص بالمستخدم والخادم باستخدام بروتوكول طبقة النقل الآمن (بروتوكول نقل النص الفائق الآمن) لتشفير الاتصال. يمكن للخادم تحديد علامة Secure أثناء تعيين ملف تعريف الارتباط، مما سيؤدي إلى قيام المتصفح بإرسال ملف تعريف الارتباط فقط عبر قناة مشفرة، مثل اتصال تي إل إس.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
إذا تمكن المهاجم من جعل خادم الأسماء يخزن خادم الأسماء مزيفًا (يُسمى تسميم ذاكرة التخزين المؤقت لخادم الأسماء)، فقد يسمح هذا للمهاجم بالوصول إلى ملفات تعريف الارتباط الخاصة بالمستخدم. على سبيل المثال، يمكن للمهاجم استخدام تسميم ذاكرة التخزين المؤقت لنظام أسماء النطاقات لإنشاء إدخال DNS مزيف لـ f12345.www.example.com والذي يشير إلى عنوان بروتوكول الإنترنت الخاص بخادم المهاجم. يمكن للمهاجم بعد ذلك نشر عنوان محدد موقع الموارد الموحد للصورة من خادمه الخاص (على سبيل المثال، http://f12345.www.example.com/img_4_cookie.jpg). سيقوم الضحايا الذين يقرؤون رسالة المهاجم بتنزيل هذه الصورة من f12345.www.example.com. نظرًا لأن f12345.www.example.com هو نطاق فرعي لـ www.example.com، فإن متصفحات الضحايا سترسل جميع ملفات تعريف الارتباط المرتبطة بـexample.com إلى خادم المهاجم.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
إذا تمكن المهاجم من تحقيق ذلك، فعادةً ما يكون ذلك خطأ مزودي خدمة الإنترنت لعدم تأمين خوادم DNS الخاصة بهم بشكل صحيح. ومع ذلك، يمكن تخفيف شدة هذا الهجوم إذا كان موقع الويب المستهدف يستخدم ملفات تعريف الارتباط الآمنة. في هذه الحالة، سيواجه المهاجم تحديًا إضافيًا يتمثل في الحصول على شهادة تي إل إس الخاصة بموقع الويب المستهدف من جهة إصدار الشهادات، نظرًا لأن ملفات تعريف الارتباط الآمنة لا يمكن نقلها إلا عبر اتصال مشفر. بدون شهادة تي إل إس مطابقة، ستعرض متصفحات الضحايا رسالة تحذيرية حول شهادة المهاجم غير الصالحة، وهو ما من شأنه أن يساعد في ردع المستخدمين عن زيارة موقع الويب الاحتيالي للمهاجم وإرسال ملفات تعريف الارتباط الخاصة بهم إلى المهاجم.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
يمكن أيضًا سرقة ملفات تعريف الارتباط باستخدام تقنية تسمى البرمجة النصية عبر المواقع. يحدث هذا عندما يستغل المهاجم موقع ويب يسمح لمستخدميه بنشر محتوى لغة تأشير النص الترابطي وجافا سكريبت غير مفلتر. من خلال نشر أكواد لغة تأشير النص الترابطي وجافا سكريبت ضارة، يمكن للمهاجم أن يتسبب في قيام متصفح الويب الخاص بالضحية بإرسال ملفات تعريف الارتباط الخاصة بالضحية إلى موقع ويب يتحكم فيه المهاجم.
على سبيل المثال، قد يقوم المهاجم بنشر رسالة على www.example.com بالرابط التالي:
عندما يقوم مستخدم آخر بالنقر فوق هذا الرابط، يقوم المتصفح بتنفيذ جزء التعليمات البرمجية داخل سمة onclick، وبالتالي استبدال السلسلة document.cookie بقائمة ملفات تعريف الارتباط التي يمكن الوصول إليها من الصفحة الحالية. ونتيجة لذلك، يتم إرسال هذه القائمة من ملفات تعريف الارتباط إلى خادم attacker.com. إذا كان النشر الضار للمهاجم موجودًا على موقع ويب بروتوكول نقل النص الفائق https://www.example.com، فسيتم أيضًا إرسال ملفات تعريف الارتباط الآمنة إلى attacker.com في نص عادي.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
تقع على عاتق مطوري الموقع مسؤولية تصفية مثل هذه الأكواد الخبيثة.
يمكن التخفيف من حدة هذه الهجمات باستخدام ملفات تعريف الارتباط بروتوكول نقل النص الفائق فقط. لن تتمكن لغات البرمجة النصية مثل جافا سكريبت من الوصول إلى هذه الملفات، وبالتالي لن يتمكن المهاجم من جمعها.
في الإصدارات الأقدم من العديد من المتصفحات، كانت هناك ثغرات أمنية في تنفيذ واجهة برمجة التطبيقات طلب نقل المعلومات. تتيح واجهة برمجة التطبيقات هذه للصفحات تحديد خادم وكيل من شأنه الحصول على الرد، ولا يخضع خادم الوكيل هذا لسياسة الأصل نفسه. على سبيل المثال، يقرأ الضحية منشورًا للمهاجم على www.example.com، ويتم تنفيذ البرنامج النصي للمهاجم في متصفح الضحية. يقوم البرنامج النصي بإنشاء طلب إلى www.example.com باستخدام خادم الوكيل attacker.com. نظرًا لأن الطلب يتعلق بـwww.example.com، فسيتم إرسال جميع ملفات تعريف الارتباط example.com مع الطلب، ولكن سيتم توجيهها عبر خادم الوكيل الخاص بالمهاجم. وبالتالي، سيكون المهاجم قادرًا على حصاد ملفات تعريف الارتباط الخاصة بالضحية.
ملف تعريف ارتباط سرقة ملفات تعريف الارتباط واختطاف الجلسة
لن ينجح هذا الهجوم مع ملفات تعريف الارتباط الآمنة، نظرًا لأنه لا يمكن نقلها إلا عبر اتصالات بروتوكول نقل النص الفائق الآمن، وبروتوكول نقل النص الفائق الآمن يفرض تشفيرًا من البداية إلى النهاية (أي أن المعلومات مشفرة على متصفح المستخدم وفك تشفيرها على الخادم الوجهة). في هذه الحالة، لن يرى خادم الوكيل سوى البايتات الخام المشفرة لطلب بروتوكول نقل النص الفائق.
على سبيل المثال، قد يتصفح بوب منتدى دردشة حيث نشر مستخدم آخر، مالوري، رسالة. لنفترض أن مالوري صممت عنصر صورة لغة تأشير النص الترابطي يشير إلى إجراء على موقع بوب الإلكتروني (بدلاً من ملف صورة)، على سبيل المثال،
إذا احتفظ بنك بوب بمعلومات المصادقة الخاصة به في ملف تعريف الارتباط، وإذا لم تنته صلاحية ملف تعريف الارتباط، فإن محاولة متصفح بوب لتحميل الصورة ستؤدي إلى إرسال نموذج السحب مع ملف تعريف الارتباط الخاص به، وبالتالي تفويض معاملة دون موافقة بوب.
اختطاف الكوكيز هو هجوم ضد متصفح إنترنت إكسبلورر والذي يسمح للمهاجم بسرقة ملفات تعريف الارتباط الخاصة بجلسة المستخدم عن طريق خداع المستخدم لسحب كائن عبر الشاشة. اعتبرت شركة مايكروسوفت أن هذا الخلل منخفض المخاطر بسبب «مستوى التفاعل المطلوب من المستخدم»، وضرورة أن يكون المستخدم قد سجل الدخول بالفعل إلى موقع الويب الذي تمت سرقة ملف تعريف الارتباط الخاص به. وعلى الرغم من ذلك، حاول أحد الباحثين الهجوم على 150 من أصدقائهم على الفيسبوك وحصل على ملفات تعريف الارتباط الخاصة بـ80 منهم عبر الهندسة الاجتماعية.
ملف تعريف ارتباط عيوب ملفات تعريف الارتباط
بالإضافة إلى مخاوف الخصوصية، فإن ملفات تعريف الارتباط لها أيضًا بعض العيوب الفنية. على وجه الخصوص، فإنها لا تحدد هوية المستخدمين دائمًا بدقة، ويمكن استخدامها في هجمات أمنية، وغالبًا ما تكون على خلاف مع نمط الهندسة المعمارية للبرمجيات
إذا تم استخدام أكثر من متصفح على جهاز كمبيوتر واحد، فعادةً ما يكون لكل متصفح مساحة تخزين منفصلة لملفات تعريف الارتباط. وبالتالي، لا تُعرّف ملفات تعريف الارتباط هوية الشخص، بل هي مزيج من حساب المستخدم وجهاز الكمبيوتر ومتصفح الويب. وبالتالي، فإن أي شخص يستخدم حسابات أو أجهزة كمبيوتر أو متصفحات متعددة لديه مجموعات متعددة من ملفات تعريف الارتباط.
وبالمثل، لا تفرق ملفات تعريف الارتباط بين المستخدمين المتعددين الذين يتشاركون نفس حساب المستخدم والكمبيوتر والمتصفح.
ملف تعريف ارتباط بدائل لملفات تعريف الارتباط
يمكن أيضًا تنفيذ بعض العمليات التي يمكن إجراؤها باستخدام ملفات تعريف الارتباط باستخدام آليات أخرى.
رمز ويب جيسون ‏ (JWT) عبارة عن حزمة مستقلة من المعلومات يمكن استخدامها لتخزين هوية المستخدم ومعلومات صحته. وهذا يسمح باستخدامها بدلاً من ملفات تعريف الارتباط الخاصة بالجلسة. على عكس ملفات تعريف الارتباط، والتي يتم إرفاقها تلقائيًا بكل طلب بروتوكول نقل النص الفائق بواسطة المتصفح، يجب إرفاق JWTs صراحةً بكل طلب بروتوكول نقل النص الفائق بواسطة تطبيق الويب.
يتضمن بروتوكول نقل النص الفائق بروتوكولات مصادقة الوصول الأساسية ‏ وبروتوكولات مصادقة الوصول الملخص ‏، والتي تسمح بالوصول إلى صفحة الويب فقط عندما يقدم المستخدم اسم المستخدم وكلمة المرور الصحيحين. إذا كان الخادم يتطلب مثل هذه بيانات الاعتماد لمنح الوصول إلى صفحة ويب، يطلب المتصفح هذه البيانات من المستخدم، وبمجرد الحصول عليها، يقوم المتصفح بتخزينها وإرسالها في كل طلب صفحة لاحق. يمكن استخدام هذه المعلومات لتتبع المستخدم.
ملف تعريف ارتباط بدائل لملفات تعريف الارتباط
جزء سلسلة الاستعلام من محدد موقع الموارد الموحد هو الجزء الذي يتم استخدامه عادةً لهذا الغرض، ولكن يمكن استخدام أجزاء أخرى أيضًا. تستخدم كل من آليات جلسة Java Servlet وPHP هذه الطريقة إذا لم يتم تمكين ملفات تعريف الارتباط.
تتكون هذه الطريقة من قيام خادم الويب بإضافة سلاسل استعلام تحتوي على مُعرّف جلسة فريد إلى جميع الروابط داخل صفحة الويب. عندما يتبع المستخدم رابطًا، يُرسل المتصفح سلسلة الاستعلام إلى الخادم، مما يسمح له بتحديد هوية المستخدم والحفاظ على الحالة.
ملف تعريف ارتباط بدائل لملفات تعريف الارتباط
تتشابه هذه الأنواع من سلاسل الاستعلام إلى حد كبير مع ملفات تعريف الارتباط من حيث أن كلاهما يحتوي على قطع عشوائية من المعلومات يختارها الخادم ويتم إرسالهما مرة أخرى إلى الخادم في كل طلب. ومع ذلك، هناك بعض الاختلافات. نظرًا لأن سلسلة الاستعلام هي جزء من عنوان محدد موقع الموارد الموحد، فإذا تمت إعادة استخدام هذا العنوان لاحقًا، فسيتم إرسال نفس قطعة المعلومات المرفقة إلى الخادم، مما قد يؤدي إلى حدوث ارتباك. على سبيل المثال، إذا تم ترميز تفضيلات المستخدم في سلسلة الاستعلام الخاصة بعنوان محدد موقع الموارد الموحد وقام المستخدم بإرسال هذا العنوان إلى مستخدم آخر عبر البريد الإلكتروني، فسيتم استخدام هذه التفضيلات لهذا المستخدم الآخر أيضًا.