Cookie如何暴露你在網際網路上的行蹤

大前天，央視315晚會曝光“Cookie跟蹤洩漏隱私”，引發網友普遍關注。最引發共鳴的好像是這個掃盲帖：http://t.cn/zYd0A5y，稱央視這種“揭批”是“矯情”。恰好昨天翻譯D is for Digital（http://t.cn/zOi1i8m）第11章，其中也談到了隱私與跟蹤，而且用例項解釋了Cookie跟蹤的原理，推薦大家一讀。

只要上網，我們的資訊就會被收集，而如果沒有我們留下的蛛絲馬跡，幾乎什麼事兒也幹不了。使用其他系統時的情況也一樣，特別是使用手機的時候，手機網路隨時都知道我們在哪裡。如果是在戶外，支援GPS的手機（現在的智慧手機幾乎都支援）定位使用者的誤差不超過10米，而且隨時都會報告你的位置。（我的手機報告我的位置時誤差也只有20米，而我是在自己的辦公室裡，辦公室所在的大樓屬於中等規模建築。）有些數位相機也帶GPS，可以在照片中編入地理位置資訊，這種做法被稱為打地理標籤。

把多個來源的跟蹤資訊彙總起來，就可以繪製一幅關於個人的活動、喜好、財務狀況，以及其他很多方面的資訊圖。這些資訊最起碼可以讓廣告客戶更精準地定位我們，讓我們看到樂意點選的廣告。不過，跟蹤資料的應用可遠不止於此。這些資料還可能被用在很多我們意想不到的地方。比如根據收入把人分成三六九等，在貸款時區別對待，或者更糟糕地，被人冒名頂替，被政府監控，被人圖財，甚至害命。

怎麼收集我們的瀏覽資訊呢？有些資訊會隨著瀏覽器的每一次請求傳送，包括你的IP地址、正在瀏覽的頁面（referrer，即來源頁）、瀏覽器的型別和版本、作業系統，還有語言偏好。

此外，如果伺服器的域中有cookie，那麼這些“小甜餅”也會隨瀏覽器請求一塊傳送。根據cookie的規範，只能把這些儲存使用者資訊的小檔案發給最初生成它們的域。那還怎麼利用cookie跟蹤我對其他網站的訪問呢？

要知道答案，就得明白連結的工作原理。每個網頁都包含指向其他頁面的連結（這正是“超連結”的本義）。我們都知道連結必須由我們主動點選，然後瀏覽器才會開啟或轉向新頁面。但圖片不需要任何人點選，它會隨著頁面載入而自動下載。網頁中引用的圖片可以來自任何域。於是，在瀏覽器取得圖片時，提供該圖片的域就知道我訪問過哪個頁面了。而且這個域也可以在我的計算機上存放cookie，並且收到之前訪問過的域所產生的cookie。

以上就是實現跟蹤的祕密所在，下面我們再通過例子來解釋一下。假設我想買一輛新車，因此訪問了toyota.com。我的瀏覽器因此會下載60 KB的HTML檔案，還有一些JavaScript，以及40張圖片。其中一張圖片的原始碼如下：

<img src="http://ad.doubleclick.net/ad/
                  N2724.deduped_spotlight/B1009212;
                  sz=1x1;tag=total_traffic;ord=1?"
                  width=1 height=1 border=0>

這個<img>標籤會讓瀏覽器從ad.doubleclick.net下載一張圖片。這張圖片只有1畫素寬、1畫素高，沒有邊框，而且很可能是透明的，總之頁面上看不見它。當然，這張圖片根本就沒想讓人看到。當我的瀏覽器請求它時，DoubleClick會知道我正在瀏覽豐田汽車公司網站的某個頁面，而且（如果我允許）還會在我的計算機中儲存一個cookie檔案。要是我隨後又訪問了一個內建DoubleClick圖片的網站，DoubleClick就可以繪製一張我的“足跡圖”。如果我的“足跡”大都留在汽車網站上，DoubleClick會把這個資訊透露給自己的廣告客戶。於是乎，我就能看到汽車經銷商、購車貸款、修車服務、汽車配件等等各種廣告。如果我的“足跡”更多與交通事故或止疼有關，那麼就會看到律師和醫生投放的廣告。

DoubleClick（現為谷歌所有）在拿到使用者訪問過的站點資訊後，會根據這些資訊向豐田等廣告客戶推銷廣告位。豐田公司繼而利用這些資訊定向投放廣告，而且（可能）會參考包括我的IP地址在內的其他資訊。（DoubleClick不會把這些資訊賣給任何人。）隨著我訪問的頁面越來越多，DoubleClick就可以繪製一幅關於我的更詳細的圖畫，藉以推斷我的個性、愛好，甚至知道我已經60多歲了，是個男的，收入中上，住在新澤西中部，在普林斯頓大學上班。知道我的資訊越多，DoubleClick的廣告客戶投放的廣告就越精準。到了某個時刻，DoubleClick甚至可以確定那個人就是我，儘管大多數公司都聲稱不會針對具體的某個人。可是假如我的確在某些網頁中填過自己的名字和電子郵件地址，那誰也不敢保證這些資訊不會被傳播。

這套網際網路廣告系統設計得極其精密。開啟一個網頁，這個網頁的釋出者會立即通知雅虎的Right Media或谷歌的Ad Exchange，說這個網頁上有一個空地兒正虛位以待，可以顯示廣告。同時發過去的還有瀏覽者的資訊（例如，25到40歲之間、單身、住在舊金山，是個技術宅，喜歡泡館子）。於是，廣告客戶會為這個廣告位而競價，勝出者的廣告將被插入到這個網頁中。整個過程不過零點幾秒而已。