Abu Awal Md Shoeb
Department of Computer Science, Rutgers University
译者：Kenneth
来源：https://arxiv.org/abs/1802.10523

摘要

网络浏览器是通过互联网执行各种活动的最常用工具。除了普通浏览模式，几乎所有现代浏览器都有隐私浏览模式，具体名称因浏览器而异，但隐私模式的目的在每个浏览器中都是类似的。在正常浏览模式下，浏览器会跟踪用户的活动和相关数据，如浏览历史记录、Cookie、自动填充字段、临时文件等；在隐私浏览模式下，浏览器声称不会存储任何信息，或是在关闭当前会话后销毁全部信息。然而一些研究人员在主流浏览器中进行的测试已经反驳了这一说法，在这方面我也有一些个人的经验。在这篇文章中，我将反对隐私浏览模式。通过调查大量事实，证明隐私浏览模式并不能实现真正的私密性，它并没有保持一切私密。在下面的章节中，我将证明我的论点。除了一些已经完成的研究工作外，我还会展示我的个人案例研究和实验数据。

1 引言

Web浏览器会保留大量的用户相关信息，如缓存文件、访问URL、搜索项、Cookie等数据都存储在本地计算机上，任何使用同一计算机的人都能访问并检索这些文件。隐私浏览模式最早于2005年由Apple Safari 2.0版本引入。三年后，Chrome（Incognito）紧随其后。后来， IE 8和Firefox 3.5在2009年也引入了各自的隐私浏览模式，分别被称为InPrivate和Private Browsing。已经有许多论文研究了IE、Chrome和Firefox等浏览器的隐私模式的特性，并进行了比较。然而，所有调查都证明隐私浏览并未实现真正意义上的隐私。任何人都可以很容易地跟踪隐私浏览模式下的用户行为。在这些调查中，研究人员通过临时文件、内存和一些系统文件等反驳现有的隐私浏览模式。在我的威胁模型中，我主要考虑由浏览器维护的临时文件。

2 威胁模型

我把攻击者（如Aggarwal等人[5]）分为两种类型：本地和远程。本地攻击者是指能够物理访问用户机器的人，而隐私浏览的主要目的就是防止本地攻击者的攻击。在我的实验中，尽管没有人在隐私浏览会话后成功访问我的浏览历史记录，然而我的隐私浏览历史仍然会受到损害，所以这个攻击模型也被认为是局部攻击。另一方面，对于远程攻击者，假设攻击者能够在Web浏览会话中与用户进行接触，这通常会引导用户到一个由攻击者控制的网站。攻击者的目的是检测用户是否处于隐私模式。在这篇文章中，我排除了远程攻击者的威胁，因为隐私浏览本身就不是用来防止网络跟踪的[3,11,12,13,14]。感兴趣的读者可以检查其他隐私保护工具（如Tor[15]）以防止Web跟踪。

3 背景

我在搜索租车信息时的一些经历让我对隐私浏览模式产生了兴趣。我有一群喜欢旅游的好朋友，我们总是租车旅行。在我们的团队中，一般由我进行租车、预订酒店的工作。在一次旅行中，我在我的笔记本电脑上寻找一辆出租汽车。我用谷歌浏览器在www.priceline.com 网站搜索租车信息。在当时我没有找到任何合适的交易。于是我停止了搜索，并关闭了浏览器。后来，我在想如果我在手机上找一辆车会发生什么事。可以注意到，我的手机和笔记本电脑连接在同样的WLAN中。因此我认为这两个设备的位置在网络上是相同的。令人惊喜的是，在我的手机中，我找到了我们想要的车。出于好奇心，我又在笔记本上进行了相同的工作，而结果和以前一样。
这两种不同的结果使我感到困惑，并引导我思考如何用其他方法来搜索它。由于我的手机是一个独立的设备，它带来的结果与笔记本电脑不同，我正在考虑如何在同一设备中匿名搜索。然后，就想到了隐私浏览模式，我想我可以通过隐私浏览模式隐藏我的身份在浏览中搜索任何东西。
后来，我在Google Chrome中打开了隐身标签，并在同一网站上搜索了租车。但是，结果与正常浏览模式相同。这让我重新思考隐私浏览模式能在多大程度上保证我们的隐私？

4 论点

我偶尔会使用隐私浏览（包括Mozilla Firefox和Google Chrome）。在搜索租车、酒店和机票的优惠时，我使用私人模式（译者注：防止大数据杀熟？）。但根据我个人的经验，我发现隐私浏览模式并不会将我的搜索记录保密。通过三个案例研究，我发现人们通常对于隐私模式的理解是错误的。

案例1

在作为新客户搜索时，租车网站上会有许多折扣。因此，我尝试在隐私浏览模式下搜索租车信息，以便在登录我的帐户之前，租车网站不知道我是老客户。但是在一次关闭隐私浏览模式后登陆Facebook后，隐私浏览的安全性第一次让我产生了怀疑。那时我使用Chrome的隐身模式搜索 www.priceline.com 上的租车信息，在这之后，我关闭了隐身模式，并开始在正常模式下使用Chrome，然后我在Facebook上很惊讶地看到租车网站的广告。而且在搜索酒店和机票方面我也有类似的经历。

案例2

在案例1中，广告推送可能发生我以正常浏览模式搜索出租汽车的情况。稍后，我在隐私浏览模式下搜索相同的信息。随后，租车网站的广告就出现在了Facebook上。为了进一步证明这种情况，我再次搜索了其他热门网站上波斯顿地区的租车信息。在隐私浏览模式下搜索几辆汽车后，我关闭了所有选项卡。之后，我在谷歌浏览器的正常模式下打开了一个新标签并登录到我的Facebook帐户。这时我又一次在Facebook上看到这些租车网站展示的广告。后来，我浏览了谷歌、在线报纸和在线购物网站，也发现了类似广告。最有趣的是，所有的汽车租赁广告都来自波士顿，而这正是我在隐私浏览模式下所搜索的。

案例3

在搜索机票和酒店方面我也有类似的经历。我曾以隐私浏览模式搜索新奥尔良的酒店，随后就在Facebook和Google上收到了新奥尔良酒店的广告。

5 研究方法

我最初的计划是调查所有主流浏览器（包括Firefox、Chrome、Internet Explorer和Apple Safari）中的隐私浏览模式，还计划在Windows、iOS和Ubuntu等的不同操作系统上进行我的实验。但是由于时间和资源的限制，我提供的最终实验数据是基于Ubuntu的。我在Ubuntu中使用了Firefox和Chrome。此外，我原本打算在不同的虚拟机上运行不同的Web浏览器，以免他们有机会访问临时Internet文件。但由于内存的限制，我无法在笔记本电脑上运行虚拟机。因此我最终在运行Ubuntu操作系统的单台机器上同时运行Firefox和Chrome。
在实验中，我在笔记本电脑上安装了全新的Ubuntu 14.04 LTS。这是作为一个独立的操作系统，而不是作为第二操作系统驻留在Windows内部的系统。系统准备就绪后，我将不会使用Firefox或Chrome登录，以防止同步个人设置和历史记录。我也为我的Google帐户做了同样的事情，以防止同步Google搜索记录。

实验1

我使用Chrome隐身模式搜索购买新车，我分别搜索了尼桑和丰田的一辆迷你SUV的信息， 然后关闭浏览器。一段时间后，重新打开浏览器的隐身模式，并登录Facebook帐户。一段时间后，我开始看到特别针对丰田RAV4（一款迷你SUV）的广告。 图1和图2分别显示了带有广告的Facebook页面。 在图2中，它没有显示丰田的广告，但它显示了来自另一家售车网站的广告。

图1

图2

实验2

在这个实验中，我搜索了另一个商品——来自www.bluenile.com 的钻石戒指。 我以隐身模式使用Chrome搜索戒指，后来我以隐身模式重新打开浏览器，并访问了www.ovidhan.org （一个在线孟加拉语词典网站）。我在这个网站上也发现了一些广告，其中一个是来自www.bluenile.com 的钻石戒指。图3显示了www.ovidhan.org 上出现的广告。

图3

6 Counter Claims

在许多组织中，IT部门强制员工在办公室工作时不要执行任何个人任务。因此他们总是希望监控员工的活动。如果一个浏览器为隐私浏览提供完整的隐私，那么这些组织很可能不会使用这个浏览器。此外，浏览器通过广告赚取收入，并根据使用习惯和模式向用户展示广告。 如果用户在私人模式下浏览网页，并且浏览器不保留任何用户痕迹，那么就很难知道用户偏好，无法为用户投放定制的广告。考虑这两个商业案例，浏览器公司不愿意在浏览器中提供完全隐私的浏览模式。

7 讨论

在现代浏览器中，研究人员已经做了很多工作来分析隐私浏览模式的安全性，研究了包括从2009-2015年的各种版本的隐私浏览模式，涵盖了主流的浏览器，包括Internet Explorer、Mozilla Firefox、Google Chrome和Apple Safari。一些研究还通过在虚拟机中模拟来分析隐私浏览的内容。有少数研究人员也使用计算机取证软件来验证隐私浏览的内容。在上述的研究中，显然发现隐私浏览模式留下痕迹来追踪在隐私模式下执行的用户活动。而且Internet Explorer中的隐私模式相比其他浏览器留下了更多的证据，Mozilla Firefox则保留了较少的私密浏览证据。但是到目前为止，没有发现一款浏览器可以完全隐藏浏览数据。
总而言之，浏览器在每次隐私浏览之后不会删除所有本地数据。我通过命令行访问了位于/home/user-name/.cache/googlechrome/Default/Cache中的由Chrome维护的缓存文件夹。浏览器在全新安装开始时没有任何缓存文件夹，因此这可能是泄露浏览历史记录的潜在原因，但针对这个缓存的内容分析超出了本文的范围。

8 总结

在本文中，我针对的是所有现代浏览器的隐私浏览模式，我认为隐私浏览在保护用户隐私方面并不完全安全。在本文中，证明隐私浏览留下了一些记录用户活动的证据。通过查看相关的临时文件、Cookie、浏览器文件系统等，可以很容易地跟踪这些活动。但是，不同浏览器的隐私保护程度各有不同。