上個月Google Chrome終於修復了一個自2002年已經發現的私隱問題，而這個漏洞已被不道德的行銷者利用了15年，瀏覽過的連結轉換成紫色聽起來方便，原來暗藏威脅私隱的問題。
由藍天變成紫雨
瀏覽過網站後它的連結顏色會由藍色轉換成紫色，這個功能首次出現在32年前的NCSA Mosaic瀏覽器，此後這個功能在90年代差不多被所有瀏覽器所採用，之後更成為了標準的CSS (Cascading Style Sheets)，然後流傳至今大部份瀏覽器都有此預設。然而在2002年，研究人員發現這個功能能被濫用，從中加入數百或數千條隱形連結到單一網頁，再使用JavaScript去偵測瀏覽器哪個網頁被定為已訪問，在這種做法下不良網站可以得知使用者的瀏覽紀錄。
在2010年，研究人員發現一些大型網站正使用上述技術去監視訪客，當中包括YouPorn、TwinCities和其他480個熱門網，站，更有平台提供瀏覽歷使收集服務，當中有廣告公司因為利用這種技術進行分析而面對官司，儘管最後勝出官司，主流的瀏覽器已修改處理連結的程式碼，令他們無法讀取連結是否曾經訪問過。不過網絡技術的進步為探查瀏覽歷史帶來新的方法，在2018年一個研究描述有4種新方法去進行探查，其中兩種方法影響全部瀏覽器(除了Tor瀏覽器)，其中一個安全漏洞CVE-2018-6137可以每秒檢查3000連結，與此同時，更多精密攻擊去探查瀏覽歷史持續出現。
瀏覽記錄盜竊的危險
獲得用戶的瀏覽歷史，可以造成以下的威脅：
- 不太私隱的生活 – 知道用戶瀏覽的網站(尤其與醫療、政治團體、約會、賭博或其他敏感題材)，攻擊者就能利用有關的資料進行攻擊，客製詐騙或誘餌。
- 針對性檢查 – 查探瀏覽歷史的網站可以藉此知道用戶使用哪家銀行，這種資料可以被網絡犯罪份子和合成的公司加以利用。
- 分析和去匿名化 – 廣告和分析公司利用cookie及數碼指紋追蹤用戶在網絡的活動和點擊，瀏覽歷史正是有效的指紋，尤其結合其他追蹤技術。
防範瀏覽器記錄盜竊
基本防護在2010年出現在Gecko(FireFox)和WebKit(Chrome和Safari)瀏覽器引擎，防範基本編碼去讀取連結狀態，大約在同一時間，Firefox 3.5推出完全關閉已瀏覽連結轉換顏色的選項，以Firefox為基礎的Tor瀏覽器更預設開啟這項功能(但關閉儲存瀏覽記錄的功能)，提供強大的防禦能力，但嚴重影響便利程度，除非犧牲一些舒適的元素，否則精密的攻擊仍能查探用戶的瀏覽記錄。
Google正嘗試大幅改變現狀，從136版本開始，Chrome會預設開啟瀏覽過的連結分區，簡單而言就是只有當前網站點擊才會轉換顏色，嘗試查探時，網站只能看到來自其自身的點擊。瀏覽過的網站數據庫會依域名分開保存。
用戶可以做的事
如果不是Chrome的用戶，也可以採取一些簡單的防範措施來抵禦威脅：
- 定期更新瀏覽器去抵禦新發現的漏洞
- 如果不想讓別人知道曾到訪過的網站，使用隱身或私人瀏覽。
- 相隔一段時間便清理瀏覽器的cooke和瀏覽記錄
- 在設定關閉轉換顏色瀏覽過連結的功能
- 使用功能封鎖追蹤工具和間諜程式
資料來源：Kaspersky Blog
