Google obchází omezení cookies, není sám

Microsoft v pondělí obvinil Google z obcházení ochrany soukromí v Internet Exploreru. Tedy ze stejných praktik, jaké vyhledávací společnost využívá i v mobilní verzi prohlížeče Safari. Navíc se ukazuje, že podobně se chovají i další weboví giganti včetně Facebooku.

Mechanismus obcházení popsal Dean Hachamovitch z Microsoftu na oficiálním blogu. IE standardně blokuje cookies jiných subjektů, pokud mu web pomocí prohlášení P3P nesdělí, jak hodlá danou cookie využít a neslíbí, že jejím prostřednictvím nebude sledovat aktivitu uživatele. P3P je protokol, s jehož pomocí vzdálený web standardním způsobem popisuje, k čemu hodlá data obsažená v cookie využít. Prohlížeče podporující P3P tak mohou na základě tohoto prohlášení rozhodnout, jestli danou cookie serveru vrátí nebo ne. Hachamovitch informuje o tom, že Google využívá nejasností ve specifikaci P3P, díky kterým dokáže uživatelská nastavení týkající se cookies obejít.

Podle informací na blogu Lorrie Faith Cranorové z Carnegie Mellon University však tento postup částečně umožňují samotné prohlížeče, protože informace zasílané pomocí protokolu P3P nekontrolují příliš důsledně. „Některé společnosti zjistily, že mohou ve svém prohlášení P3P uvádět nepravdivé informace, které prohlížeč bez problému přijme. Dále vyšlo najevo, že kvůli jedné chybě v Internet Exploreru tento prohlížeč neblokuje informace P3P s neplatným prohlášením.“

Podle jejích slov takto nepostupuje pouze Google, jedná se tedy o větší problém s ochranou soukromí uživatele při procházení webu. Například Facebook odesílá v rámci tohoto protokolu informaci, že žádné zásady P3P nepoužívá. Protože se jedná o neplatné prohlášení, dojde k vypnutí ochrany cookies v Internet Exploreru. Údajně tisíce dalších společností sice udávají informace ve správném tvaru, jejich obsah ale neodpovídá skutečnosti. Servery si tedy shromažďují víc dat o svých návštěvnících, než jsou ochotny samy přiznat, a tím narušují ochranu jejich soukromí.

Doplnění z 21.2.2012, 15.19

Vyjádření Rachel Whetstoneové, Senior Vice President, Communications and Public Policy, Google:

„Microsoft ve svém dnešním blogpostu vynechal důležitou informaci. Microsoft používá protokol známý jako „P3P“ z roku 2002, v kterém žádá webové stránky, aby své praktiky ochrany soukromí zobrazovali ve strojově čitelné podobě. Je všeobecně známé (včetně společnost Microsoft), že takovýto požadavek není možné splnit, pokud se nechcete vzdát funkcí moderního webu. V našem přístupu jsme byly vždy transparentní, stejně jako i další webové stránky. Dnes tuto zásadu Microsoft prakticky nikdo nedodržuje. Studie z roku 2010 ukázala, že přes 11 tisíc webů nevydávalo platné P3P zásady, které Microsoft vyžadoval.“