Proč řešit profily, kontejnery a izolaci stránek
Prohlížeč je dnes primárním prostředím pro práci, komunikaci i finance. Tomu odpovídá rozsah rizik: cross-site sledování, exfiltrace dat přes skripty třetích stran, postranní kanály (cache, HSTS) i útoky vyžadující procesovou izolaci (např. útoky typu Spectre). Tři architektonické nástroje, které zásadně ovlivňují soukromí a rizikový profil, jsou uživatelské profily, kontejnery a izolace stránek. V kombinaci s politikami úložišť (partitioning) a anti-trackingovými mechanismy tvoří základ moderního „privacy posture“ organizace i jednotlivce.
Model hrozeb: co chceme minimalizovat
- Cross-site profilování: propojování identity napříč doménami pomocí cookies, fingerprintingu a sdílených úložišť.
- Laterální pohyby: proniknutí škodlivého skriptu z jedné záložky k citlivým datům v jiné.
- Únik metadat: korelace na základě IP, TLS, cache, HSTS, historie prohlížení, notifikací či oprávnění.
- Útoky na procesové úrovni: získání dat pomocí spekulativního vykonávání nebo sdílených zdrojů bez izolace stránek.
- Chyby uživatele: omylem otevřené odkazy ve „work“ kontextu, automatické přihlášení nesprávným účtem, míchání rolí.
Profily prohlížeče: co to jsou a kdy dávají smysl
Profil je oddělená množina dat (cookies, cache, historie, rozšíření a přihlášení). Umožňuje paralelní identity a pracovní kontexty bez mísení stavů. Profily jsou vhodné pro scénáře „práce vs. osobní“, „admin vs. uživatel“ nebo testování.
- Výhody: silné oddělení stavů, méně náhodných „úniků“ identity, odlišné politiky a rozšíření.
- Nevýhody: uživatelská disciplína (vybrat správný profil), vyšší nároky na údržbu, možná duplicita rozšíření.
- Doporučení: pojmenujte profily podle úkolu (např. „Finance“, „Vývoj“, „Osobní“), přiřaďte unikátní barevné téma a ikony, odlišné výchozí vyhledávání a rozšíření podle potřeb.
Kontejnery: granulárnější oddělení v rámci jednoho profilu
Kontejnery (neboli „site containers“/„isolation containers“) rozdělují úložiště a relace do logických složek uvnitř jednoho profilu. Typickým příkladem je používání více účtů pro stejnou službu bez křížové kontaminace cookies a bez otevírání dalšího profilu.
- Výhody: rychlé přepínání kontextu na úrovni záložky, automatické mapování domén do kontejneru, menší kognitivní zátěž než u celých profilů.
- Scénáře: oddělení sociálních sítí („Sociální“), bankovnictví („Banka“), firemních nástrojů („Práce“), testovací prostředí („Test“), cloudových účtů („Cloud-A“, „Cloud-B“).
- Omezení: ne všechny prohlížeče kontejnery nativně podporují; některá API (např. notifikace/oprávnění) mohou mít specifické chování.
Izolace stránek: bezpečnostní hranice na úrovni procesů
Izolace stránek zajišťuje, že každá site (obvykle eTLD+1 s rozšířeními) běží v samostatném procesu. Snižuje riziko úniků mezi záložkami přes sdílenou paměť a mitiguje třídu útoků spojených se spekulativním vykonáváním.
- Pro soukromí: menší prostor pro zneužití postranních kanálů mezi site-originy.
- Pro bezpečnost: přísnější hranice sandboxu a lepší omezení dopadu kompromitované stránky.
- Náklady: vyšší spotřeba paměti a CPU v závislosti na počtu aktivních stránek a procesové politice.
Partitioning úložišť: konec sdílené cache a stavů třetích stran
Moderní prohlížeče postupně zavádějí partitioning úložišť – cookies, cache, service workerů, HSTS, HTTP cache, médií či rozhodnutí o oprávněních – podle top-level site. To brání třetím stranám znovu-identifikovat uživatele napříč různými stránkami pouze proto, že se načítají jako vložené zdroje.
- Cookies a přístup „Total Cookie Protection“: cookies jsou vázány na top-level site; třetí strany mají izolované zásobníky.
- Partitioning sítě a cache: HTTP cache, připojovací pooly a HSTS se dělí podle top-level; omezuje to „cache probing“ a korelaci.
- Ořezávání API: stabilizace/fuzzy hodnoty pro časovače, fonty, rozlišení a další high-entropy signály snižuje fingerprinting.
Profily vs. kontejnery: jak si vybrat
- Výběr podle rolí: pokud potřebujete odlišná rozšíření, politiky a správu certifikátů – zvolte samostatné profily.
- Výběr podle účtů: pokud jde o paralelní přihlášení do téže služby – postačí kontejnery.
- Kombinace: pro „firemní“ profil použijte několik kontejnerů (projekty/klienti) a samostatný „osobní“ profil bez firemních rozšíření.
Praktická workflow s kontejnery
- Mapování domén: nastavte pravidla „vždy otevřít v kontejneru“ pro klíčové domény (mail, CRM, banky).
- Dočasné kontejnery: otevírejte neznámé odkazy v dočasném kontejneru; po zavření záložky se stav smaže.
- Oddělte sociální sítě: nechte sociální widgety běžet v samostatném kontejneru, čímž snížíte cross-site profilování.
Konfigurace profilů pro vysoké riziko
- „Citlivý“ profil: bez rozšíření mimo auditovaných, zákaz notifikací, oprávnění na principu „deny by default“, automatické čištění při zavření.
- „Vývoj/analýza“ profil: oddělené proxy a certifikáty, povolené developer tools, ale bez přihlášení do osobních účtů.
- „Osobní“ profil: pohodlná rozšíření, ale s kontejnery pro sociální sítě a nákupy; pravidelné čištění úložiště.
Prohlížeče a jejich přístupy k soukromí
- Firefox: robustní kontejnery (včetně dočasných), agresivní anti-tracking, partitioning několika úložišť, projektová izolace stránek.
- Chrome/Chromium/Edge: silná izolace stránek (site-per-process), postupná náhrada cookies třetích stran partitioned mechanismy a atribučními API; správa profilů s podnikových politik.
- Safari: systémové anti-tracking (ITP), přísná omezení třetích stran, důraz na snižování entropie API.
- Brave: výchozí blokování reklam/trackingu, další mitigace fingerprintingu, anonymizační techniky pro atribuci.
- Tor Browser: extrémní důraz na standardizaci fingerprintu a izolaci na úrovni first-party; vhodný pro rizikové scénáře, ne vždy praktický pro běžné dlouhé relace.
Organizační politiky: MDM, GPO a compliance
- Vynucené profily: oddělení „Work Managed“ profilu, zakázané přihlašování soukromých účtů, předepsaná rozšíření a certifikáty.
- Mapa kontejnerů: seznam citlivých domén s povinným otevřením v přiřazeném kontejneru; zákaz vypínání pravidel.
- Partitioning a třetí strany: blokování third-party cookies tam, kde procesy dovolí; whitelist pouze pro konkrétní případy.
- Logování a audit: bez obsahu, ale s metadata o změnách oprávnění, rozšíření a událostech přepínání profilů.
Rozšíření: pomocníci i riziko
- Nutné minimum: méně rozšíření = menší útočná plocha a nižší entropie fingerprintu.
- Audit oprávnění: rozšíření s přístupem k all_urls nasazovat pouze po due diligence; pravidelné revize.
- Blokátory: udržujte aktuální seznamy, zvažte dynamické filtrační režimy a ochranu proti „CNAME cloaking“.
Mitigace fingerprintingu v praxi
- Standardizované hlavičky: redukce variability User-Agent, preference Client Hints se striktními politikami.
- Zaokrouhlování časů a rozlišení: snižování přesnosti API pro čas, grafiku a senzory.
- Partitioning workerů a cache: izolace service workerů a zdrojů podle top-level kontextu.
Testování izolace: jak ověřit konfiguraci
- Kontrola cookies: porovnejte hodnoty pro stejnou třetí stranu ve dvou top-level doménách; při správném partitioningu se nesdílí.
- Cache probing: načtěte identický zdroj ve dvou top-level kontextech a sledujte, zda pochází z oddělené cache.
- Mapa procesů: v nástrojích pro vývojáře nebo systémovém monitoru sledujte samostatné procesy pro různé site.
Výkonnostní a UX kompromisy
- Více procesů: izolace stránek zvyšuje paměťovou náročnost; při velkém počtu záložek zvažte limity.
- Partitioning cache: může snížit hit-rate a zvýšit datový provoz; důležité zejména na mobilních připojeních.
- Profily a kontejnery: vyžadují disciplínu; pomozte si vizuálním označením oken/záložek a automatickými pravidly.
Doporučený referenční setup pro jednotlivce
- Profil „Práce“: povinné MFA, minimum rozšíření, kontejnery pro „Mail“, „Chat“, „Intranet“, „Klient-A“.
- Profil „Osobní“: kontejnery pro „Sociální“, „Nákupy“, „Banky“; agresivní blokování třetích stran.
- Profil „Citlivý“: bez pluginů, bez přetrvávajících přihlášení, automatické mazání úložiště po zavření prohlížeče.
Doporučený referenční setup pro organizaci
- Spravovaný profil: vynucený přes MDM/GPO, seznam schválených rozšíření, zakázaná synchronizace do soukromých účtů.
- Mapování domén do kontejnerů: mail, CRM, fakturace, zdrojový kód – každé v samostatném kontejneru.
- Politika partitioningu: výchozí zapnutí; výjimky jen po rizikové analýze a zdokumentování účelu.
- Hardening: blokace notifikací, přísná oprávnění médií, zakázané „background sync“ a experimentální API bez potřeby.
Checklist implementace
- Definujte role a mapujte je na profily; každé přiřaďte vizuální identitu.
- Zaveďte kontejnery pro opakující se domény a zapněte pravidla „vždy otevřít v“.
- Ověřte izolaci stránek a monitorujte její dopad na výkon.
- Zapněte partitioning cookies a cache; kontrolujte, zda kritické aplikace fungují.
- Minimalizujte a auditujte rozšíření; logujte změny a oprávnění.
- Nastavte automatické čištění úložiště pro citlivé profily a dočasné kontejnery pro neznámé odkazy.
Časté omyly a jak se jim vyhnout
- „Incognito stačí“: incognito neřeší fingerprinting ani procesovou izolaci; je vhodné pouze pro lokální stav relace.
- „Stačí blokovat cookies“: bez partitioningu a kontejnerů unikají metadata přes další úložiště a požadavky.
- „Rozšíření jsou neškodná“: každé rozšíření zvyšuje entropii a riziko; nasazujte s rozmyslem.
Shrnutí: vrstvený přístup k soukromí v prohlížeči
Profily umožňují oddělit různé světy, kontejnery izolují účty a domény v rámci dne a izolace stránek vytváří tvrdé bezpečnostní hranice na úrovni procesu. Spolu s partitioningem úložišť a rozumným minimem rozšíření jde o praktickou, škálovatelnou a udržitelnou cestu k vyššímu soukromí a odolnosti. Tajemstvím úspěchu je disciplína a automatizace: jasná pravidla, vizuální stopy, výchozí kontejnery a pravidelné audity.
