Согласно позиции киберправозащитников, существующий в настоящее время вариант с управлением cookie заочно (через настройки браузера) не удовлетворяет высоким представлениям о сетевой безопасности

Европейские законодатели продолжают эпическую битву за сохранение личного пространства пользователя компьютерной техники. Последняя законодательная инициатива ЕС заключалась в том, чтобы обязать компании заранее уведомлять пользователя о сохранении критических данных в cookie-файлы. Согласно позиции киберправозащитников, существующий в настоящее время вариант с управлением cookie заочно (через настройки браузера) не удовлетворяет высоким представлениям о сетевой безопасности.

Соответствующая инициатива была одобрена ЕС в прошлом году. В настоящий момент процесс находится в стадии, когда члены союза должны определиться с официальной реакцией. Вместе с тем вокруг одиозного закона начинают разрастаться нешуточные страсти. В первую очередь пул заинтересованных лиц, состоящий из интернет-компаний, рекламщиков, специалистов в юриспруденции и властных структур, не может прийти к общему понимаю законодательной инициативы. По существу приводится один весомый аргумент: почему, собственно, не может считаться достаточным вариант, когда cookie-менеджмент осуществляется через настройки браузера? Или— даже если согласиться с предложенным нововведением, как это технически будет осуществлено? Если машина начнет спрашивать о каждом обновлении cookie, то интерфейс устройства будет засорен уведомительными окнами, которые просто завалят пользователя.

Сookie-заблуждения

Имеется ряд заблуждений о cookie. Они главным образом основаны на уверенности людей, что cookie являются компьютерными программами. На самом деле cookie— это простые текстовые данные, и они не могут выполнять какие-либо действия самостоятельно. В частности, cookie не могут быть ни вирусами, ни шпионскими программами.

Файлы контроля

Чтобы разобраться в сути проблемы, следует пояснить, чем на самом деле является cookie-файл. Файл HTTP-Cookie представляет из себя небольшой фрагмент данных, созданный веб-сервером или веб-страницей и хранимый на компьютере пользователя в виде файла, который веб-клиент (обычно веб-браузер) каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

Происхождение cookie

По одной из версий термин cookie (печенье) происходит от «волшебного печенья»— набора данных, которые программа получает и затем отправляет обратно неизменными. В июне 1994 года Лу Монтулли пришла идея использовать их при веб-соединении. В то время он был сотрудником Netscape Communications, которая разрабатывала по заказу пакет электронной коммерции. Сookie стали решением проблемы надежной реализации виртуальной корзины покупок.

Фрагмент включает в себя информацию об уникальном опыте общения пользователя и сетевого ресурса. Создаваемые как способ «умного» общения с человеком, cookie запоминают пользовательские спецификации. На практике таковыми обычно бывают пароли, логины, а также некоторые настройки в случае, если сетевой ресурс носит ярко выраженный пользовательский характер (блог или социальная сеть по преимуществу). Сookie в этом случае используются для: аутентификации пользователя, хранения персональных предпочтений и настроек пользователя, отслеживания состояния сессии доступа пользователя; ведения статистики о пользователях.

Именно данные cookie-файлов являются хлебом для агрегаторов контекстной рекламы. С помощью них система распознает в пользователе потребительский запрос и выводит соответствующий тип рекламы. Поскольку в ходе одной сессии обновление cookie может происходить достаточное большое количество раз, разработчики браузеров убрали этот процесс из видимого поля интерфейса. Запись cookie-файлов проводится автоматически. Рядовой пользователь обычно и не подозревает о том, что вводимые им данные где-то откладываются на его компьютере в том формате, который потом подхватывает рекламный агрегатор.

Безобидный трекинг

Между тем управляющий партнер линейки бизнес-порталов Медпром.ру, Агробизнес.ру, Автобизнес.ру Андрей Акопянц в разговоре с GZT.RU отметил, что сам трекинг по файлам-cookie может быть как безобидной вещью, так и весьма подозрительной.

«Надо заметить, что трекинг при помощи cookie в рекламных сетях достаточно безобиден— там есть возможность только накопить информацию о посещаемых пользователем сайтах/страницах, и то не всех, а тех, где стоит код соответствующей рекламной сети или счетчика, и без всякой возможности привязки этих данных к реальному Ивану Иванову или Джону Смиту. А вот связывание данных рекламных сетей с соцсетями— это действительно серьезно, так как соцсети позволят привязать ваш трекинговый профайл к вашему профилю с реальными ФИО, демографией, адресом и др. В России такой возможностью обладает LiveInternet применительно к своим пользователям. Насколько я понимаю, „Бегун“ сейчас также может ассоциировать свои трекинговые профили с реальными людьми на „Одноклассниках“ в рамках соглашения, заключенного в декабре 2008 года»,— рассказал господин Акопянц.

Разумеется, функционал браузера предусматривает возможность отключить автоматическую запись cookie. В некоторых, например, в браузере Chrome от Google, существует окно анонимной веб-сессии, при которой записанные cookie автоматически удаляются при закрытии окна. Тем не менее подобные меры, очевидно, мало применимы в ситуации рядового пользователя, который не слишком привык ковыряться в настройках. Именно эту категорию граждан власти Европы и хотят оградить от слива не-дай-бог важной личной информации.

Мнение эксперта

Руководитель отдела интернет-маркетинга компании Softline Дмитрий Коневник в разговоре с GZT.RU вообще отметил, что, на его взгляд, менять существующие нормы неуместно.

«Я не думаю, что текущий механизм работы с файлами cookie требует кардинального изменения. Собираемая информация не персонифицирована, все, что получают исследователи— „средняя температура по больнице“, и задача сбора информации одна: сделать посещение сайта более комфортным, лучше и качественнее удовлетворить потребность посетителя.

Сложно представить себе удобный функционал, при котором обращение к cookie-файлам требовало бы внимания и одобрения, так как такое действие пришлось бы выполнять при посещении любого веб-сайта. Скорее всего, изменения не пойдут дальше обязательных настроек прав доступа к cookie-файлам при первом запуске браузера»,— рассказал господин Коневник.

Лица несогласные

Во всей этой истории сейчас много неопределенного. Разные стороны, задействованные в процессе, выступают с противоречивыми отзывами. Так юристы отмечают, что не совсем ясно, на кого эта ответственность ляжет. «Мы находимся в области, которая как бы ничья»,— отмечает глава адвокатской конторы Великобритании Hunton & Williams LLP.

Тем временем, как сообщает The Wall Street Journal, регуляторы стран— членов ЕС обещают содействовать продвижению закона. Также сообщается, что все 27 стран Союза примут это правило в перечень законов, касающихся сетевых отношений, к маю следующего года. Сложность в том, что каждое отдельное государство может интерпретировать норму по-своему, создавая «кошмар» конфликтующих правовых стандартов.

Эксперты отмечают, что европейские власти, любящие позиционировать себя как лидеры в сфере потребительской защищенности (любимым коньком тут, конечно же, являются химические пищевые добавки и генно-модифицированные продукты), своими инициативами вносят лишь искусственные ограничения для сетевой среды, которая по природе своей отрицает все границы.

Негодуют также и киберрекламщики Европы, доходы которых за прошлый год составили 14,7 млн евро. Требование сделать управление cookie по предварительному согласию пользователя серьезно скажется на индустрии, заявил Кимон Зобрас, вице-президент рекламного бюро— европейской организации, объединяющей игроков на этом рынке.

Еще в 2009 году бюро, в состав которого входят и Facebook, и Google, и Amazon, вместе с пятью другими группами направило законодателям Евросоюза письмо, в котором данное предложение характеризовалось как затратное и подрывное.

Автоматический накопитель

Более категорично, чем европейские рекламщики, инициативу властей ЕС прокомментировал шеф-редактор журнала «Идея икс», журналист, политический консультант Анатолий Вассерман.
В интервью GZT.RU он отметил, что подобная инициатива является проявлением ничего иного, как «страха и невежества».

«Я воспринимаю эту меру как популизм, продиктованный страхами, порожденными невежеством»,— заявил господин Вассерман. По его словам, с внедрением меры в лучшем случае каждому сайту, требующему регистрации, придется запрашивать у пользовательского компьютера логин и пароль при каждом действии.

«А браузерам— соответственно хранить логины и пароли для всех сайтов, открытых хотя бы в текущем сеансе. Что, на мой взгляд, предоставляет куда больше возможностей для атак на компьютеры, нежели существующая технология. Как известно, многократная шифровка одного и того же текста существенно упрощает взлом шифра. Сookie можно передавать нешифрованными. Логин и пароль желательно шифровать. Если их передавать в одном сеансе многократно, появляется возможность дешифровать не только их, но и всю обмениваемую информацию. То есть мера, предлагаемая евробюрократами, даст результат, прямо противоположный декларируемым намерениям. Хотя, конечно, бюрократы очень хотят иметь доступ к любым тайнам, но вряд ли желают предоставлять его любому желающему»,— поделился господин Вассерман.

Постоянное ручное управление данными cookie кажется неуместным и Андрею Акопянцу.

«Если требовать, чтобы каждая выдача cookie подтверждалась пользователям (как я понял, именно на этой трактовке настаивают самые рьяные), то это сделает жизнь пользователя интернета невозможной, так что такой вариант всерьез вообще рассматривать не стоит. Насколько я знаю, в английской версии закона хотят потребовать обязательства браузера спрашивать о cookie при установке, во французской— каждые три месяца»,— заметил GZT.Ru Акопянц.

По его словам, комизм ситуации в том, что законодатели вообще не на то ополчились. Их беспокоит работа по трекингу и накоплению пользовательских профилей, а они, вместо того чтобы регулировать деятельность по сбору и использованию этих данных. пытаются регулировать технический механизм— cookie-файлы, которые используются, кроме трекинга, еще для массы других безусловно полезных вещей.

«В этом смысле предложение представителей IAB о введении отраслевого стандарта по снабжению трекирующих вставок значками, позволяющими получать информацию о трекинге и запрещать его, гораздо радикальнее и действительно облегчает решение проблемы приватности. В отличие от того, что придумали европейские законодатели»,— добавил господин Акопянц.