https://bit.ly/38DvCG3
防不勝防？AdGuard公開逾6,000款秘密追蹤器
AdGuard公布濫用CNAME（Canonical Name）紀錄的第三方追蹤伺服器名單，讓其它封鎖程式
得以把數千款秘密追蹤器列入過濾名單中
文/陳曉莉 | 2021-03-08發表
https://cdn.adguard.com/public/Adguard/Blog/cname_browser.jpg
https://cdn.adguard.com/public/Adguard/Blog/cname_cookies.jpg
AdGuard表示，瀏覽器無法偵測到濫用CNAME（Canonical Name）紀錄的秘密追蹤器，使得許
多第三方追蹤伺服器可取得第一方網站才能獲得的使用者Cookie，從使用者名稱、聯絡資料
到使用期間認證Cookie等。（圖片來源／AdGuard）
專門開發廣告封鎖與隱私保護機制的AdGuard，日前藉由GitHub釋出[1]逾6,000款秘密追蹤
器的名單，開放第三方利用該名單來阻止那些濫用CNAME（Canonical Name）紀錄的秘密追
蹤器，同時宣稱市場上超過9成的瀏覽器用戶，都受到這些秘密追蹤器的跟蹤。
CNAME為網域名稱系統中的資源紀錄，用來將網域名稱的別名映射至標準名稱，最常被應用
在有多種服務的網站，例如它會把ftp.example.com與blog.example.com等子網域都指向exa
mple.com，一旦變更了IP位址，只要更改example.com的IP即可，此外，CNAME紀錄只會指向
網域名稱，而非IP位址，該特性造就了AdGuard所描述的秘密追蹤器。
AdGuard說明[2]，為了創造無縫的互動能力，瀏覽器信任子網域就像信任主要網域一樣，然
而，有些第三方的追蹤伺服器卻偽裝成可靠網站的子網域，在取得使用者的Cookie上，扮演
與主要網域同樣的角色，瀏覽器無法偵測這些濫用CNAME紀錄的追蹤伺服器，使得第三方追
蹤伺服器可取得第一方網站才能獲得的使用者Cookie，從使用者名稱、聯絡資料到使用期間
認證Cookie等。
一群研究人員也在今年2月出版了一份相關的研究報告，名為「大規模分析基於DNS的追蹤逃
避」（Large-scale Analysis of DNS-based Tracking Evasion）[3]，指出有多達95%的網
站都部署了這類的追蹤器而外洩用戶Cookie。
AdGuard表示，瀏覽器本身無從避免CNAME偽裝追蹤，但內容封鎖器卻可以，不管是AdGuard
、AdGuard DNS或是Firefox上的擴充程式uBO，都能封鎖這類的秘密追蹤器，然而，由於Chr
ome、Chromium與Safari等瀏覽器的限制，一般的擴充程式無法動態解析主機名稱並刪除追
蹤器，它們被侷限在過濾名單上，也難以想像有人會掃描整個網站以找出以CNAME遮掩的追
蹤器。
於是，AdGuard提供了含有逾6,000個秘密追蹤器的列表，供其它第三方封鎖程式得以將它們
嵌入過濾名單中，也承諾未來將會持續更新該名單。
即便如此，由於Safari與Chrome瀏覽器在封鎖規則數量上，各有5萬及15萬的限制，AdGuard
認為，這些數量的限制遲早會不敷使用，而且可能會比想像中更早到來。
參考資料：
[1] https://github.com/AdguardTeam/cname-trackers
[2] https://adguard.com/en/blog/cname-tracking.html
[3] https://arxiv.org/abs/2102.09301
懶人包：
1. 許多網頁追蹤代碼想要規避瀏覽器的限制來取得Cookie，藉此追蹤使用者的足跡。
2. 透過網站DNS的幫忙，真正提供追蹤服務的網站可以偽裝成一般網站的子網域，以此騙取
瀏覽器信任，存取cookie。
3. 瀏覽器會信任這種情況，是因為一般網站的cookie讓子網域取得對使用者比較方便。例
如你在google.com登入過後，登入的cookie能被drive.google.com讀取到，使用者就不用再
登入一次。
4. Chromium系的附加元件擋不住，偉哉Google，ㄏㄏ
5. Firefox的附加元件就擋得住。雖然Firefox越改越爛==