Iedereen herinnert zich de paniek rond het jaar 2000. Je las een krantenartikel over internetprivacy en kreeg een definitie tegen die je bloed deed rillen. De bewering? Cookies zijn programma’s die op uw harde schijf staan en alles wat u doet in de gaten houden, uw geheimen verzamelen en deze terugsturen naar de webmaster wanneer zij daar zin in hebben.
Het is een angstaanjagend beeld. Het is ook helemaal verkeerd.
Het probleem is niet alleen dat de pers de techniek verkeerd interpreteert. Het is dat deze specifieke mythe blijft bestaan omdat het eng klinkt. Maar cookies zijn geen programma’s. Ze kunnen geen code uitvoeren. Ze kunnen geen opdrachten uitvoeren. Ze kunnen zeker niet rond uw C:-schijf kruipen op zoek naar persoonlijke bestanden. Ze zijn passief. Dom. Inert.
Hier is de feitelijke definitie, ontdaan van de angstzaaierij:
Een cookie is een klein stukje tekst. Dat is alles. Een tekstreeks die een webserver aan uw browser vraagt om op uw computer op te slaan. Wanneer u later dezelfde site bezoekt, stuurt de browser die tekst terug. Het is een manier waarop een website u kan onthouden. Niet omdat het je in de gaten houdt, maar omdat het internet zelf alles vergeet zodra je wegklikt.
Hoe cookies feitelijk op uw harde schijf werken
Als u wilt zien wat er zich in uw machine verbergt, kunt u kijken. Het is niet verborgen in een gecodeerde kluis. Het zit in een gewone map.
Als u Microsoft Internet Explorer gebruikt (een knipoog naar het tijdperk waar deze uitleg vandaan komt, hoewel het concept vandaag de dag nog steeds geldt), bevinden deze bestanden zich in een map die vaak de naam C:\Windows\Cookies heeft.
Open die map. Wat zie je?
Honderden bestanden. Elk bestand is een eenvoudig tekstbestand. Je kunt ze openen met Kladblok. Geen speciale software vereist. Geen decoderingssleutels nodig. Gewoon ruwe tekst.
Elk bestand komt overeen met een specifieke website. De bestandsnaam vertelt u wie het daar heeft geplaatst. Binnenin vind je naam-waardeparen. Dit is de enige gegevensstructuur die een cookie gebruikt. Een naam. Een waarde. Niets meer.
Laten we naar een echt voorbeeld kijken. Ik heb goto.com bezocht. De site heeft een cookie op mijn computer geplaatst. Ik open het bestand. Het bevat dit:
Dat is de hele lading. Goto.com heeft mij een unieke ID toegewezen. Ze hebben die ID op mijn harde schijf opgeslagen. De volgende keer dat ik het bezoek, zegt mijn browser: “Hé, ik ben A9A3BECE0563982D.” De server zegt: “O ja. Welkom terug.”
Het is een handdruk. Geen bewakingsinstrument.
Waarom slaan sites verschillende gegevens op?
Niet alle cookies zijn gelijk. Sommige sites zijn minimalistisch. Anderen zijn uitgebreid.
De overgrote meerderheid van websites slaat slechts één ding op: een gebruikers-ID. Het is een etiket. Het bevat niet uw naam, uw adres of uw creditcardnummer. Het is gewoon een willekeurige reeks die u koppelt aan een sessie of een account op hun server.
Maar sommige sites hebben meer nodig.
Neem Amazon.com. Als ik het cookiebestand bekijk dat Amazon op mijn computer heeft opgeslagen, is het wat rommeliger:
Hier houdt Amazon een paar dingen bij.
– session-id-time : Wanneer is deze browsersessie begonnen?
– session-id : Een unieke ID voor dit specifieke bezoek.
– ubid-main : een hoofdgebruikers-ID, waarschijnlijk gekoppeld aan een account.
– x-main : een interne waarde. Het kan van alles zijn.
Amazon moet weten of je dezelfde persoon bent van vijf minuten geleden (sessie-ID) of dat je een terugkerende klant bent van vorig jaar (gebruikers-ID). Daarom slaan ze meerdere naam-waardeparen op.
De harde grenzen van wat cookies kunnen doen
Dit is het deel dat de meeste mensen missen. En het is het belangrijkste onderdeel.
Een cookie kan niets ‘doen’. Het zijn gegevens. Geen programma.
Zie het als een briefje dat voor de deur wordt achtergelaten. Op het briefje staat: “Hallo, met Bob.”
– Het briefje kan uw dagboek niet lezen.
– Het briefje kan uw deur niet openen.
– Het briefje kan Bob niet bellen om hem te vertellen wat je als ontbijt hebt gehad.
Het zit daar gewoon.
Wanneer u een website bezoekt, controleert uw browser de cookie-pot. Als er een opmerking voor die site is, wordt deze overhandigd. De website kan alleen de notitie lezen die it heeft achtergelaten.
Een website kan geen cookies van andere websites lezen.
Als je een cookie van Amazon en een cookie van Goto.com hebt, kan Amazon de gegevens van Goto.com niet zien. Goto.com kan de gegevens van Amazon niet zien. Ze zijn in silo’s ondergebracht. Geïsoleerd.
Dit is een fundamenteel beveiligingskenmerk van de manier waarop browsers werken. Het voorkomt cross-site tracking op bestandssysteemniveau. Als een site de cookies van andere sites zou kunnen lezen, zou het internet onbruikbaar zijn. Uw bankcookie kan door een nieuwssite worden gestolen. Uw e-mailcookie kan door een gameportaal worden opgepakt.
Dat gebeurt niet.
Dus waarom de angst?
Omdat mensen de container verwarren met de inhoud.
