Topic: Bloccare TUTTI i cookies

[23Andrea]

Ciao.
Ho un problema con la versione 68 esr.
Fino a ieri, con la versione 60 esr, utilizzavo questa preferenza per bloccate tutti i cookies:

Codice: [Seleziona]

pref("network.cookie.cookieBehavior", 2);
Poi inserivo nella tabella moz_perms del file permissions.sqlite una serie di siti dai quali accettare i cookies.

Con la nuova versione non funziona più: vengono comunque memorizzati i cookies di terze parti, anche se nella GUI risulta

about:preferences#privacy > Blocco contenuti > Personalizzato > Scegli cosa bloccare: Tutti i cookie

Potrei provare a utilizzare il file policies.json, ma molto più scomodo per me.

Qualche idea o suggerimento?
Grazie.

[23Andrea]

Ho fatto qualche prova con le policies, ma il risultato non cambia.

Codice: [Seleziona]

"Cookies": { "Default": false,
             "AcceptThirdParty": "never"}
La "falla" è sempre quella delle eccezioni: se si inserisce un sito tra le eccezioni, per esempio

http://www.reverso.net

si autorizzano implicitamente anche i cookies di terze parti:

adnxs.com
adversiting.com
casalemedia.com
doubleclick.net
....

Se non si inseriscono eccezioni il problema non si verifica...

[deckard]

Non so se l'utilizzo di componenti aggiuntivi come Cookie AutoDelete o “Forget Me Not - Forget cookies & other data” possa essere d'aiuto.
https://addons.mozilla.org/it/firefox/addon/cookie-autodelete/
https://addons.mozilla.org/it/firefox/addon/forget_me_not/

Probabilmente anche uBlock Origin e uMatrix offrono un minimo di controllo sui cookies.

[23Andrea]

Se devo utilizzare un componente aggiuntivo, allora posso utilizzare la funzione antitracciamento dell'applicazione.
Basta impostare:

user_pref("privacy.trackingprotection.enabled", true);

e il problema (sembra) risolto.
Sembra quasi che sia stata abbassata la guardia su un meccanismo di gestione dei cookies semplice e collaudato, per spingere gli utenti ad adottare il nuovo sistema antitracciamento.
Eppure, nel sito per gli sviluppatori, a proposito di "storage access policy"

https://developer.mozilla.org/en-US/docs/Mozilla/Firefox/Privacy/Storage_access_policy

al primo paragrafo si legge:
...This policy is designed as an alternative to the older cookie policies, which have been available in Firefox for many years....

Traduco liberamente (e approssimativamente):
Questo criterio è concepito come alternativa ai vecchi criteri di gestione dei cookie, disponibili in Firefox da molti anni.

Sarà proprio vero? ...Non sembra.

[23Andrea]

Ho parlato troppo presto.
Questo riesce a bucare anche la protezione antitracciamento:

blue.mynsystems.com

 

[Underpass]

Scusami, io non ho capito il metodo che stai seguendo per testare il comportamento.

Voglio dire: se da interfaccia configuri l'opzione "Blocca tutti i cookie", ci sono dei cookie che Firefox non blocca? Perché se è così direi che si tratta di un bug non da poco.

Ci dai un sito web che, una volta visitato, scavalca le opzioni configurate dall'interfaccia?


edit: aggiungo: se vai a toccare i file sqlite ti poni automaticamente al di fuori di qualsiasi richiesta di supporto perché queste operazioni non sono assolutamente previste né supportate.

[Underpass]

Test appena effettuato:

Avvio Firefox ESR 68.4.1
Configuro le opzioni di privacy con blocco di tutti i cookie
Navigo su alcuni siti (RAI, La7, vari quotidiani)

Risultato: nessun cookie risulta presente.

[23Andrea]

Ok, allora facciamo un test senza editare permission.sqlite: lo cancello per averlo nuovo di zecca.

Firefox ESR 68.4.1 (it x64)
Windows 7 SP1 (64 bit)

Preferenze impostate a livello di applicazione (quelle relative ai cookies):

pref("network.cookie.cookieBehavior", 2);
lockPref("network.cookie.lifetimePolicy", 3);
lockPref("network.cookie.lifetime.days", 90);

Preferenze impostate a livello di profilo:

user_pref("privacy.trackingprotection.enabled", true);
user_pref("privacy.trackingprotection.cryptomining.enabled", true);
user_pref("privacy.trackingprotection.fingerprinting.enabled", true);
user_pref("urlclassifier.trackingTable", "test-track-simple,base-track-digest256,content-track-digest256");

1 Accedo al sito
https://www.tim.it/
senza impostare eccezioni per i cookies: nessun cookie memorizzato.

2 Imposto (da GUI) l'eccezione per il sito tim.it:
mi ritrovo i cookies
tim.it
www.tim.it
blue.mynsystems.com

Come dicevo: la falla è nelle eccezioni.
Resta da vedere se il problema è solo mio, oppure no.

[Underpass]

Ciao, non riscontro il problema. Se faccio questi stessi passaggi, non riesco a entrare nel sito ma non viene memorizzato alcun cookie.

Io ti consiglio di provare con un nuovo profilo (praticamente io ESR non lo uso mai quindi è "nuovo" per me).



edit: mi correggo: facendo refresh vedo memorizzati anche i cookie di terze parti connessi a tim.it . Forse è il comportamento desiderato? Sinceramente non so.

[23Andrea]

... non riesco a entrare nel sito...

Non si tratta di "entrare nel sito" (loggarsi), ma solo di visualizzare la home page a scopo di test.

Ma mi sembra di capire che la tua prova conferma quello che succede anche a me:
1) con il blocco contenuti, senza eccezioni => nessun cookie
2) con il blocco contenuti e l'eccezione per un singolo sito => vengono memorizzati anche i cookies di terze parti

E tieni presente che sto parlando del blocco contenuti impostato nel modo più restrittivo, almeno secondo la GUI dell'applicazione.

Il problema è: perchè viene concessa l'autorizzazione per i cookies a domini non compresi tra le eccezioni se le preferenze dicono:

about:preferences#privacy > Blocco contenuti > Personalizzato > Scegli cosa bloccare > Cookie > Tutti i cookie

 

[Underpass]

Non so, sarebbe da provare con Nightly e probabilmente aprire un bug su BugZilla. Non so se il comportamento è quello atteso, magari scrivo a flod e gli faccio leggere questo thread.

edit: con Nightly il comportamento è identico.

[Iceberg]

Confermo. Bloccando tutti i cookie, o solo quelli di terze parti, mettendo un sito tra le eccezioni si sblocca tutto. Mettere un sito tra le eccezioni non vuol dire consentire solo i cookie di quel sito ma anche tutti quellii di terze parti.
Credo sia il comportamento voluto ma non il comportamento desiderato. Chi ha scritto le regole voleva questo comportamento, chi utilizza questa funzione non la desidera con questo comportamento.

[deckard]

Concordo sul fatto che non dovrebbe essere il comportamento giusto e, premesso che varrebbe la pena aprire un bug su Bugzilla, il risultato potrebbe essere ottenuto tramite componenti aggiuntivi.

uMatrix, Cookie Autodelete, Forget Me Not, Cookie Quick Manager o forse Policy Control.

[23Andrea]

....
Credo sia il comportamento voluto ma non il comportamento desiderato. Chi ha scritto le regole voleva questo comportamento,
...

Questo potrebbe al limite essere comprensibile per la "vecchia" gestione dei cookies, ma che senso può avere mettere a punto un sistema antitracciamento "avanzato" se poi il povero utonto non può in alcun modo decidere cosa bloccare e cosa no?
Tanto vale che che ci dicano: "lo sviluppatore ha già deciso per voi, prendere o lasciare".
E' una politica alla quale gli utenti Windows come me sono purtroppo abituati.

[Iceberg]

E bug sia.

https://bugzilla.mozilla.org/show_bug.cgi?id=1610371

1 2 3... WONTFIX... vediamo se passa la nottata.