即使刷新缓存或隐身，新的浏览器跟踪黑客也可以使用

多年来，被访问的网站跟踪Web用户的前景促使人们采取了一些对策，包括使用Privacy Badger或备用的反跟踪扩展，启用私有或隐身浏览会话或清除cookie。现在，网站采用了一种新方法来击败这三个网站。

该技术利用了网站图标（favicon）的使用，网站在用户的浏览器标签和书签列表中显示的微小图标。芝加哥大学的研究人员在一份新论文中说，大多数浏览器将图像缓存在与用于存储站点数据，浏览历史记录和Cookie的位置不同的位置。网站可能会在访问者的浏览器中加载一系列图标，从而在很长一段时间内对其进行唯一标识，从而滥用这种安排。

研究人员写道：“总的来说，网站图标长期以来一直被浏览器支持以简化网站品牌的装饰性资源，但我们的研究表明，网站图标引入了强大的跟踪向量，对用户构成了重大的隐私威胁。”他们继续说：

无需用户交互或同意，任何网站都可以轻松实施攻击工作流，即使部署了流行的反跟踪扩展程序也可以正常工作。更糟糕的是，现代浏览器的特有缓存行为为我们的攻击提供了特别糟糕的属性，因为即使在所有主要浏览器中使用不当隔离做法，即使在隐身模式下浏览时，也都使用了favicon缓存中的资源。

该攻击对Chrome，Safari，Edge和Brave一直有效，直到最近Brave在收到研究人员的私人报告后才制定了有效的对策。 Firefox也很容易受到该技术的影响，但是有一个错误阻止了此刻的攻击。

网站图标为用户提供了一个小图标，该图标对于Internet上的每个域或子域都是唯一的。网站使用它们来帮助用户更轻松地识别当前在浏览器选项卡中打开或存储在书签列表中的页面。

浏览器将图标保存在缓存中，因此不必一遍又一遍地请求它们。当用户清除浏览器缓存或Cookie或切换到专用浏览模式时，不会清空此缓存。网站可以通过以下方式来利用此行为：在用户首次访问网站时，会存储特定图标的favicon组合，然后在用户重新访问该网站时检查这些图片，从而即使在用户采取了积极措施来防止跟踪时，该网站也可以识别浏览器。

自1990年代万维网问世以来，浏览器跟踪一直是一个令人关注的问题。用户清除浏览器Cookie变得容易后，网站便设计了其他方法来识别访问者的浏览器。

这些方法之一称为设备指纹识别，该过程收集屏幕尺寸，可用字体列表，软件版本以及访问者计算机的其他属性，以创建通常对该计算机唯一的配置文件。 2013年的一项研究发现，全球1.5％的最受欢迎网站都采用了该技术。即使人们使用多个浏览器，设备指纹也可以使用。作为响应，某些浏览器已尝试通过阻止指纹脚本来限制跟踪。网站可以通过将访问者发送到一系列子域（每个站点都有其自己的图标）来利用新的收藏夹边通道，然后再将其传递到他们所请求的页面。所需重定向的数量取决于站点的唯一身份访问者数量。为了能够跟踪45亿个唯一的浏览器，一个网站将需要32个重定向，因为每个重定向都会转换为1位熵。这将使最终页面加载花费大约2秒钟的时间。通过调整，网站可以减少延迟。

通过利用所有这些属性，我们展示了一种新颖的持久跟踪机制，该机制使网站即使在处于隐身模式或已清除客户端浏览器数据的情况下，也可以在访问中重新识别用户。具体来说，网站可以通过网站图标缓存中条目的唯一组合来创建和存储唯一的浏览器标识符。更准确地说，任何网站都可以通过一系列子域相应地重定向用户，从而轻松地执行此跟踪。这些子域为不同的Favicon提供服务，并因此在Favicon缓存中创建自己的条目。因此，可以使用一组N个子域来创建一个N位标识符，该标识符对于每个浏览器都是唯一的。由于攻击者控制网站，因此他们可以强制浏览器访问子域，而无需任何用户交互。本质上，缓存中子域图标的存在对应于标识符的第i位的值为1，而不存在则表示值为0。

研究结果背后的研究人员是：芝加哥大学的Konstantinos Solomos，John Kristoff，Chris Kanich和Jason Polakis。他们将在下周的NDSS研讨会上介绍他们的研究。

谷歌发言人表示，该公司已经了解了这项研究，并且正在研究修复方法。同时，苹果代表表示，公司正在调查调查结果。 Ars还联系了Microsoft和Brave，但都没有对此消息立即发表评论。如上所述，研究人员表示，Brave引入了一项对策，使该技术无法有效发挥作用，其他浏览器制造商表示，他们正在研究修复程序。

在修复程序可用之前，想要保护自己的人们应该调查禁用Favicon的有效性。在此处，此处和此处进行搜索，分别列出Chrome，Safari和Edge的步骤。