Nieuwe Flash-versie maakt verwijderen respawning cookies mogelijk

Adobe heeft eerder deze week een nieuwe versie van zijn Flash Player vrijgegeven. Opvallendste vernieuwing in versie 10.3 is de mogelijkheid dat gebruikers de omstreden Flash-cookies die adverteerders gebruiken, nu zelf kunnen verwijderen.

Bij Flash-cookies wordt de in Flash ingebouwde mogelijkheid om bepaalde gegevens lokaal op te slaan misbruikt door bepaalde websites en advertentienetwerken. Hierbij zouden deze zogenoemde local shared objects worden gebruikt om browsercookies terug te plaatsen nadat een gebruiker zijn cookies had verwijderd.

Door deze aanpak, die ook wel bekend staat als respawning, hadden gebruikers niet of nauwelijks meer invloed op welke cookies zij wilden laten staan en welke overbodig waren. Vooral adverterteerders zouden veelvuldig gebruikmaken van respawning om zo een beter beeld te krijgen van de handel en wandel van internetters en hen zo via retargeting gerichtere advertenties te kunnen tonen.

Om hier een einde aan te kunnen maken, zegt Adobe een nieuwe api te hebben ontwikkeld in samenspraak met de opensource-browsercommunity. Deze api, genaamd ClearSiteData NAPI, zorgt ervoor dat browsers ook de mogelijkheid krijgen plugindata te verwijderen. De api is zo ontwikkeld dat elke plugin er gebruik van kan maken en Flash Player is volgens Adobe de eerste plugin die de nieuwe api ondersteunt.

Chrome ondersteunt de functie al in een ontwikkelaarsversie. Adobe verwacht dat op korte termijn alle opensource-browsers de api zullen ondersteunen. In samenspraak met Microsoft is een soortgelijke functie ontwikkeld voor Internet Explorer 8 en 9, die ook al functioneel is.

In Nederland is eerder al uit onderzoek in opdracht van de OPTA gebleken dat 13 procent van de bedrijven in Nederland aangeeft respawning cookies te plaatsen. Voor het onderzoek zijn advertentiebedrijven als Sanoma, Google Doubleclick, Telegraaf en eBay ondervraagd, evenals een selectie van de populairste websites in Nederland.

Volgens het onderzoek van de OPTA wordt in Nederland op grote schaal gebruikgemaakt van cookies voor gedragsprofilering. Ruim de helft van de ondervraagde bedrijven geeft aan dat zij hun gebruikers niet informeren over het plaatsen van cookies en de gegevens die daarmee worden verkregen. Verder geeft 14 procent van de respondenten aan dat zij zich schuldig maken aan respawning. Daarbij worden verwijderde http-cookies stiekem vervangen door een Flash-cookie. Iets dat overigens in strijd is met de telecomwet. De OPTA onderzoekt dit inmiddels.

Reacties (77)

[YopY]

Ik geloof eerlijk gezegd niet dat dit 'het' probleem uiteindelijk op zal lossen. Je hebt immers ook nog andere manieren om 'cookie'-informatie op te slaan: HTML5 local storage, Silverlight, etc. D'r is een Javascript library waarmee je een cookie kunt maken die op wel 13 verschillende manieren een cookie opslaat, waarmee een cookie vanuit elke opslagmethode teruggezet kan worden. Zie Evercookie.

[robvanwijk]

D'r is een Javascript library waarmee je een cookie kunt maken die op wel 13 verschillende manieren een cookie opslaat

Twee ervan (gewone cookies en flash cookies) kunnen nu dus weggegooid worden, misschien een aantal andere ook, geen idee wat de andere 11 manieren zijn, dus ik zou zeggen "2 down, 11 to go!" (ofwel, we moeten ergens beginnen en dit is in elk geval een stap in de goede richting).

[tech-no-logical]

er staat een test op die site om te zien of jouw setup de evercookie kan verslaan of niet. ik was blij verrast dat mijn setup (ff4 met adblock, noscript, betterprivacy) alle 11 mechanismes blokkeert...

[kimborntobewild]

Stap in de goede richting? Wel een heel klein stapje dan. Er komen sneller methodes bij om (ever)cookies te maken, dan dat er methoden bij komen om ze tegen te gaan.

[Reactie gewijzigd door kimborntobewild op 25 juli 2024 10:27]

[ronaldvr]

Da's mooi, maar ik moet toch dus better privacy blijven gebruiken vanwege DOM persistent objects... (En ik neem niet aan daat het verwijderen automatisch gaat, dus dat voornamelijk betekent de coder van BetterPrivacy wellicht een gemakkelijker job heeft...

<troll mode on>
(En als je Chrome gebruikt heb je natuurlijk so wie so geen privacy
</troll mode>

[Verwijderd]

Je kunt de persistent storage voor Flashobjecten toch op 0 zetten? Of gebruik jij iets dat die storage echt nodig heeft (afgezien van spycookies)?

[ronaldvr]

Ja klopt natuurlijk. Maar wat ik bedoel is dat er tegenwoordig ook andere methodes zijn om cookies te respawnen. Zie dit artikel op ArsTechnica voor een toelichting op de "evercookie", verzonnen door Samy Kamkar:

but he also understands that the "average" Internet user is hardly aware of traditional cookies, much less Flash cookies and beyond. Deleting the data from all eight (or more) storage mechanisms can be a pretty daunting task even for the relatively experienced surfer.

(Overigens ook op Ars een later artikel over hoe een en ander wél verwijderd kan worden)

[kimborntobewild]

En als je Chrome gebruikt heb je natuurlijk so wie so geen privacy

Chrome is dood, lang leve Iron.

[Reactie gewijzigd door kimborntobewild op 25 juli 2024 10:27]

[iznogood]

Natuurlijk hebben de grotere advertentienetwerken een flinke database met je IP adres en andere host gegevens. Tegenwoordig ook geen probleem meer aangezien je vaak maanden met hetzelfde dynamisch IP adres opgescheept zit.

[mrc4nl]

dynamish ip? mijn ip is nl al 3 jaar hetzelfde
ik zit er soms zelfs aan de denken om uitgaande headers te maipuleren,
die bevatten vaak ook al veel nuttige info voor de site,
headers verwijderen kan natuurlijk niet, maar os en browser zijn vaak helemaal niet relevant.

[YDh]

Moet je eens proberen bij Belgacom in België. Daar resetten ze je IP elke 36u of je dat nu wilt of niet. Zelfs halverwege een download.*

* Dit was zo tot 1 jaar terug, ik ga er van uit dat dit nog steeds niet gewijzigd is.

[Verwijderd]

Is nog steeds zo bij Belgacom, en ook bij (bijna?) alle VDSL2-klanten aangezien Belgacom andere DSL-providers zowat verplicht om hun VDSL2-infrastructuur te gebruiken...

[mrc4nl]

ik ben positief, ik block google analitics bijv ook, hoe minder ze van me weten hoe beter.
en dat je cookies kan verwijderen is leuk, maar als ze net zo hard weer terugkomen heb je er nog niets aan dus. het gaat hier met name om respawning koekjes

[Grimm]

Gewoon even de regel "rm -rf .macromedia" opnemen in het .profile bestand wanneer je Linux gebruikt.
Dat zorgt er voor dat iedere keer wanneer je inlogt, de directory waar alle flashcookies opgeslagen worden, geleegd wordt.

[Wolfos]

Zelfde voor OS-X lijkt me.

[Zer0]

Veiliger is je /home op tmpfs mounten, dan weet je zeker dat er geen gegevens achter blijven na een reboot.
_{(mmm ik mis toch echt een alu-hoedje smiley)}

[ultimasnake]

Ik vind het wel heel moeilijk om iets weg te halen wat eigenlijk niet hoort, veel mensen zullen het niet door hebben en 'slachtoffer' zijn van de praktijken van een bedrijf die zich natuurlijk gewoon hoort te gedragen. In het geval van een misbruik van een app is het toch logischer om te zorgen dat het niet meer kan? Of waren ze dan bang dat men andere vormen van banners/etc zou gaan zoeken (zoals html5?).

[Ramoncito]

Vooral adverteerders zouden veelvuldig gebruikmaken van respawning om zo een beter beeld te krijgen van de handel en wandel van internetters en hen zo via retargeting gerichtere advertenties te kunnen tonen.

Dit is nou precies de reden waarom mensen als ik add-ons gebruiken zoals No-Script, daarmee verwijder je effectief nagenoeg ALLE advertenties (door simpelweg scripts en domeinen uit te schakelen). Ik heb tegenwoordig een snelle verbinding, dus advertenties of niet op websites zal me een worst wezen. Maar privacy ben ik wel voorstander van, dus opzouten met het verkopen van mijn gegevens, cookies en targetted advertisements.

Een VM opzetten om alleen maar rustig te kunnen internetten vind ik ook weer een beetje te..

[kimborntobewild]

Dit is nou precies de reden waarom mensen als ik add-ons gebruiken zoals No-Script, daarmee verwijder je effectief nagenoeg ALLE advertenties

Maar da's wel symptoonbestrijding. Het is wachten op een methode die dynamisch alle ads blockt. Of misschien is dat er al ergens, community based filtering?

[Bor]

Op het forum staat een topic over tools die je helpen om jezelf tegen dit soort zaken te beschermen, wellicht leuk om door te lezen: Thema topic: privacy bevorderende tools

[countbloodcount]

Heeft iemand het al uitgeprobeerd? In de settings van de flashplayer? Het is werkelijk zeer NIET user friendly. Een lijst met honderden sites die je per stuk aan moet klikken, klik delete, en bevestigen "ja ik wil echt deleten". En dat dus honderden keren, de muisarm is weer terug!

Het is mogelijk cookies te verwijderen en daar is alles mee gezegd.

[Jogai]

Als ik de .macromedia map uit m'n home gooi ben ik toch ook wel van die flash cookies af?

[David Mulder]

Nope, zijn 3 plaatsen waar die objecten kunnen worden opgeslagen afhankelijk van gebruikers rechten, browser keuze en besturing systeem. Maja, ben wel blij met hoe adobe zich in dit soort dingen opstelt, want er was alles behalve een grote controversie gaande ofzo (wel wat gebrom hier en daar, maar niet iets wat de consument enzo bereikte).

[ari3]

Blij met de opstelling van Macromedia? Pfff... Dit had vanaf dag 1 nooit mogelijk moeten zijn!

[poepkop]

Nee want cookies zijn evil...
Ooit bedacht dat het wel fijn is op een site met muziekspeler dat als je die uit zet de site dat voor je onthoud? Om een simpel voorbeeld te noemen... Als ik je surfgedrag wil bijhouden kan dat op tal van manieren (in de database met een string).

[kimborntobewild]

Nee want cookies zijn evil...

Ari3 zegt niet dat cookies evil zijn, hij zegt dat de user ze vanaf dag 1 ZELF zou moeten kunnen verwijderen. Of ben je 't daar soms mee oneens?
Dat kan ik me nauwelijks voorstellen.

[Patriot]

Blij met de opstelling van Macromedia? Pfff... Dit had vanaf dag 1 nooit mogelijk moeten zijn!

Dat is wel overdreven hoor. Het is een functie die heel erg handig is om te gebruiken, het is alleen te lastig om de gegevens te verwijderen omdat er eigenlijk nooit bij nagedacht is dat het nodig kon zijn. Nu is duidelijk dat het nodig is en maken ze het mogelijk om de gegevens te verwijderen, prima toch?

[kimborntobewild]

Dat is wel overdreven hoor.

Het is overdreven om spionage informatie over jezelf te mogen/kunnen wissen van je eigen PC???

[robvanwijk]

Als ik de .macromedia map uit m'n home gooi ben ik toch ook wel van die flash cookies af?

Maar dat is niet echt een ideale methode (nog even los van GreatSlovakia's punt). Als je één gewone cookie weg wilt gooien (van een adserver) dan is het ook niet fijn als je dat alleen kunt doen door al je cookies weg te gooie, inclusief alle cookies met data die je wel wilt behouden. Dus, als dit werkt, is het een enorme verbetering.