Evercookie-Tracking-Demo

Die traditionelle Methode – kleine Textdateien, die vom Browser gespeichert werden. Einfach über Browser-Einstellungen zu löschen.

document.cookie = "tracking_id=abc123; expires=Fri, 31 Dec 9999 23:59:59 GMT";

Speichert bis zu 5-10 MB pro Domain. Bleibt bestehen, bis es explizit gelöscht wird. Wird beim Löschen von "Cookies" oft übersehen.

localStorage.setItem('tracking_id', 'abc123');
// Survives browser restart, never expires

Ähnlich wie localStorage, wird aber beim Schließen des Tabs gelöscht. Kann verwendet werden, um Daten zum Wiederherstellen anderer Cookies während einer Sitzung weiterzugeben.

sessionStorage.setItem('tracking_id', 'abc123');

Eine vollständige NoSQL-Datenbank im Browser. Kann große Mengen strukturierter Daten speichern. Wird selten von Nutzern gelöscht.

const request = indexedDB.open('evercookie_db', 1);
request.onsuccess = (e) => {
  const db = e.target.result;
  // Store tracking ID in database
};

Kodiert den Cookie-Wert als RGB-Pixelfarben in einem PNG-Bild und erzwingt dessen Caching. Der Cookie wird ausgelesen, indem das gecachte Bild auf ein Canvas gezeichnet und die Pixelwerte gelesen werden.

// Encode "abc" as RGB: R=97, G=98, B=99
ctx.fillStyle = 'rgb(97, 98, 99)';
ctx.fillRect(0, 0, 1, 1);
// Later, read it back from cached image

ETags sind für die Cache-Validierung gedacht, können aber Tracking-IDs speichern. Der Server sendet einen eindeutigen ETag, und der Browser sendet ihn bei nachfolgenden Anfragen zurück.

// Server response:
HTTP/1.1 200 OK
ETag: "tracking_id_abc123"

// Browser's next request:
If-None-Match: "tracking_id_abc123"

Nutzt HSTS (HTTP Strict Transport Security) aus, indem Bits in Subdomain-HSTS-Richtlinien kodiert werden. Jedes Bit ist eine Subdomain, die entweder HSTS gesetzt hat oder nicht.

// Encoding "5" (binary: 101) across subdomains:
// bit0.tracker.com → HSTS ON  (1)
// bit1.tracker.com → HSTS OFF (0)
// bit2.tracker.com → HSTS ON  (1)
// Reading: check if browser upgrades each subdomain to HTTPS

Speichert die Tracking-ID in einer gecachten JavaScript- oder HTML-Datei. Wenn der Browser die gecachte Version lädt, enthält sie die ID.

// Server sends with far-future cache headers:
Cache-Control: max-age=31536000
// File contents:
var cached_tracking_id = "abc123";

Die window.name-Eigenschaft bleibt über Seitennavigationen im selben Tab bestehen, sogar zu verschiedenen Domains. Kann bis zu 2 MB speichern.

window.name = "tracking_id=abc123";
// Survives navigation to other sites in same tab!

Flash Local Shared Objects speicherten Daten außerhalb der Browser-Kontrolle. Erforderte den Besuch der Adobe-Website zum Löschen. Flash ist nun tot, war aber sehr effektiv.

// ActionScript:
var so:SharedObject = SharedObject.getLocal("evercookie");
so.data.tracking_id = "abc123";
so.flush();

Microsofts Silverlight-Plugin hatte seinen eigenen Speichermechanismus, getrennt vom Browser-Speicher. Silverlight ist eingestellt.

Kodierte Daten im Browserverlauf, indem URLs mit der ID besucht wurden. Konnte durch Prüfung der :visited-Link-Styles ausgelesen werden. Browser haben dies gepatcht.

// Create history entries:
location = "http://tracker.com/id/a";
location = "http://tracker.com/id/b";
// Read via CSS :visited (now blocked)