Evercookie

1. Evercookie

Evercookie是一个Javascript API，可以在浏览器中生成极其持久的cookie。它的目标是在客户删除标准cookie，Flash cookie（本地共享对象或LSO）等之后识别客户端。

2. 实现原理

Evercookie是通过将cookie数据存储在尽可能多的浏览器存储机制上来实现的。如果从任何存储机制中删除cookie数据，只要一个仍然完好无损，evercookie就会在每个机制中积极地重新创建它。

如果Flash LSO，Silverlight或Java机制可用，Evercookie甚至可以在同一客户机上的不同浏览器之间传播cookie！

3. 浏览器存储机制

客户端浏览器必须支持尽可能多的以下存储机制才能使Evercookie有效:

a. Standard HTTP Cookies
b. Flash Local Shared Objects
c. Silverlight Isolated Storage
d. CSS History Knocking
e. Storing cookies in HTTP ETags (Backend server required)
f. Storing cookies in Web cache (Backend server required)
g. HTTP Strict Transport Security (HSTS) Pinning (works in Incognito mode)
h. window.name caching
i. Internet Explorer userData storage
j. HTML5 Session Storage
k. HTML5 Local Storage
l. HTML5 Global Storage
m. HTML5 Database Storage via SQLite
n. HTML5 Canvas - Cookie values stored in RGB data of auto-generated, force-cached PNG images (Backend server required)
o. HTML5 IndexedDB
p. Java JNLP PersistenceService
q. Java exploit CVE-2013-0422 - Attempts to escape the applet sandbox and write cookie data directly to the user’s hard drive.

4. 后端服务器

某些存储机制需要后端服务器。该软件包附带了etag，cache和png后端服务器的PHP实现。

5. 缺点或注意事项

a. CSS历史记录首次设置cookie时，可能会导致大量HTTP请求。
b. 一些存储机制涉及在客户端浏览器中加载Silverlight或Flash。在某些机器上，这可能是一个非常缓慢的过程，会严重影响性能。在较旧的移动设备上，这可能会使您的网站无法使用.
c. 浏览器供应商正在尽最大努力填补Evercookie利用的许多漏洞。这对互联网来说是一件好事，但这意味着今天有效的方法明天可能效果不佳。

参考资料： https://github.com/samyk/evercookie

巴特西