Proč řešit profily, kontejnery a izolaci stránek
Prohlížeč je dnes primárním prostředím pro práci, komunikaci i finance. Tomu odpovídá rozsah rizik: cross-site sledování, exfiltrace dat přes skripty třetích stran, postranní kanály (cache, HSTS), ale i útoky vyžadující procesovou izolaci (např. Spectre-styl). Tři architektonické nástroje, které zásadně ovlivňují soukromí a rizikový profil, jsou uživatelské profily, kontejnery a izolace stránek. V kombinaci s politikami úložišť (partitioning) a anti-tracking mechanismy tvoří základ moderního „privacy posture“ organizace i jednotlivce.
Model hrozeb: co chceme minimalizovat
- Cross-site profilování: propojování identity napříč doménami skrze cookies, fingerprinting a sdílená úložiště.
- Laterální pohyby: proniknutí škodlivého skriptu z jedné karty k citlivým datům v druhé.
- Únik metadat: korelace podle IP, TLS, cache, HSTS, historie prohlížení, notifikací či oprávnění.
- Útoky na procesové úrovni: čtení dat přes spekulativní vykonávání nebo sdílené zdroje bez izolace stránek.
- Chyby uživatele: omylem otevřené odkazy ve „work“ (pracovním) kontextu, automatické přihlášení nesprávným účtem, míchání rolí.
Profily prohlížeče: co jsou a kdy dávají smysl
Profil je oddělená množina dat (cookies, cache, historie, rozšíření a přihlášení). Umožňuje paralelní identity a pracovní kontexty bez míchání stavů. Profily jsou vhodné pro scénáře „práce vs. osobní“, „admin vs. uživatel“ nebo testování.
- Výhody: silné oddělení stavů, méně náhodného „úniku“ identity, odlišné politiky a rozšíření.
- Nevýhody: uživatelská disciplína (vybrat správný profil), vyšší režijní údržba, potenciální duplicita rozšíření.
- Doporučení: pojmenujte profily podle úlohy (např. „Finance“, „Vývoj“, „Osobní“), přiřaďte unikátní barevné motivy a ikony, odlišné výchozí vyhledávání a rozšíření podle potřeb.
Kontejnery: granulárnější oddělení v rámci jednoho profilu
Kontejnery (resp. „site containers“/„isolation containers“) rozdělují úložiště a relace mezi logické složky v jednom profilu. Typickým příkladem je používání více účtů pro stejnou službu bez křížové kontaminace cookies a bez otevírání dalšího profilu.
- Výhody: rychlé přepínání kontextu na úrovni karty, automatické mapování domén do kontejneru, menší kognitivní zátěž než u celých profilů.
- Scénáře: oddělení sociálních sítí („Sociální“), bankovnictví („Banka“), firemních nástrojů („Work“), testovací prostředí („Test“), cloudových účtů („Cloud-A“, „Cloud-B“).
- Limitace: ne všechny prohlížeče nativně podporují kontejnery; některá API (např. notifikace/oprávnění) mohou mít specifické chování.
Izolace stránek: bezpečnostní hranice na úrovni procesů
Izolace stránek zajišťuje, že každá site (obvykle eTLD+1 s rozšířeními) běží v separátním procesu. Snižuje riziko úniků mezi kartami přes sdílenou paměť a mitiguje třídu útoků spojených se spekulativním vykonáváním.
- Pro soukromí: menší prostor pro zneužití postranních kanálů mezi site-originy.
- Pro bezpečnost: přísnější hranice sandboxu a lepší omezení dopadu kompromitované stránky.
- Náklady: vyšší spotřeba paměti a CPU v závislosti na počtu aktivních stránek a procesu politiky.
Partitioning úložišť: konec sdílené cache a third-party stavů
Moderní prohlížeče postupně zavádějí partitioning úložišť – cookies, cache, service workerů, HSTS, HTTP cache, médií či rozhodnutí o oprávněních – podle top-level site. To brání třetím stranám znovu-identifikovat uživatele napříč různými stránkami jen proto, že se načítají jako vložené zdroje.
- Cookies a „Total Cookie Protection“ přístup: cookies jsou vázány na top-level site; třetí strany mají izolované přihrádky.
- Network a cache partitioning: HTTP cache, konekční pooly a HSTS se dělí podle top-level; omezuje to „cache probing“ a korelaci.
- API ořezávání: stabilizace/fuzzy hodnoty pro časovače, fonty, rozlišení a další high-entropy signály snižují fingerprinting.
Profily vs. kontejnery: jak si vybrat
- Volba podle rolí: pokud potřebujete odlišná rozšíření, politiky a správu certifikátů – zvolte samostatné profily.
- Volba podle účtů: pokud jde o paralelní přihlášení do téže služby – postačí kontejnery.
- Kombinace: pro „firemní“ profil použijte několik kontejnerů (projekty/klienti) a samostatný „osobní“ profil bez firemních rozšíření.
Praktická workflow s kontejnery
- Mapování domén: nastavte pravidla „vždy otevřít v kontejneru“ pro klíčové domény (mail, CRM, banky).
- Dočasné kontejnery: otevírejte neznámé odkazy v dočasném kontejneru; po uzavření karty se stav vymaže.
- Oddělte sociální sítě: sociální widgety nechte běžet v samostatném kontejneru, čímž snížíte cross-site profilování.
Konfigurace profilů pro vysoké riziko
- „Citlivý“ profil: bez rozšíření mimo auditovaných, zákaz notifikací, oprávnění na bázi „deny by default“, automatické čištění při zavření.
- „Vývoj/analýza“ profil: oddělené proxy a certifikáty, developer tools povolené, ale bez přihlášení do osobních účtů.
- „Osobní“ profil: pohodlná rozšíření, ale s kontejnery pro sociální sítě a nákupy; pravidelné čištění úložiště.
Prohlížeče a jejich přístupy k soukromí
- Firefox: robustní kontejnery (včetně dočasných), agresivní anti-tracking, partitioning více úložišť, projektová izolace stránek.
- Chrome/Chromium/Edge: silná izolace stránek (site-per-process), postupná výměna cookies třetích stran za partitioned mechanismy a atribučné API; správa profilů s podnikových politik.
- Safari: systémový anti-tracking (ITP), přísná omezení třetích stran, důraz na snižování entropie API.
- Brave: výchozí blokování reklam/trackingu, další mitigace fingerprintingu, anonymizační techniky pro atribuci.
- Tor Browser: extrémní důraz na standardizaci fingerprintu a izolaci na úrovni first-party; vhodný pro rizikové scénáře, ne vždy praktický na běžné dlouhé relace.
Organizační politiky: MDM, GPO a compliance
- Vynucené profily: oddělení „Work Managed“ profilu, zakázané přihlašování soukromých účtů, předepsaná rozšíření a certifikáty.
- Mapa kontejnerů: seznam citlivých domén s povinným otevřením v přiřazeném kontejneru; zákaz vypínání pravidel.
- Partitioning a třetí strany: blokování third-party cookies tam, kde to procesy dovolí; whitelist pouze pro konkrétní případy.
- Logování a audit: bez obsahu, ale s metadata o změnách oprávnění, rozšíření a profile switching událostech.
Rozšíření: pomocníci i riziko
- Nutné minimum: méně rozšíření = menší útočná plocha a nižší entropie fingerprintu.
- Audit oprávnění: rozšíření s přístupem k all_urls nasazovat pouze po due diligence; pravidelné revize.
- Blokátory: udržujte aktuální seznamy, zvažte dynamické filtrační režimy a ochranu proti „CNAME cloaking“.
Mitigace fingerprintingu v praxi
- Standardizované hlavičky: redukce variability User-Agent, preference Client Hints se striktními politikami.
- Zaokrouhlování časů a rozlišení: snižování přesnosti API pro čas, grafiku a senzory.
- Partitioning workerů a cache: izolace service workerů a zdrojů podle top-level kontextu.
Testování izolace: jak si ověřit konfiguraci
- Kontrola cookies: porovnejte hodnoty pro stejnou třetí stranu ve dvou top-level doménách; při správném partitioningu se nesdílí.
- Cache probing: načtěte identický zdroj ve dvou top-level kontextech a sledujte, zda pochází z oddělené cache.
- Process map: v nástrojích pro vývojáře nebo systémovém monitoru sledujte samostatné procesy pro různé site.
Výkonnostní a UX kompromise
- Více procesů: izolace stránek zvyšuje paměťovou náročnost; při velkém počtu karet zvažte limity.
- Partitioning cache: může snížit hit-rate a zvýšit datový provoz; důležité zejména na mobilních sítích.
- Profily a kontejnery: vyžadují disciplínu; pomozte si vizuálním označením oken/karet a automatickými pravidly.
Doporučený referenční setup pro jednotlivce
- Profil „Work“: povinné MFA, minimum rozšíření, kontejnery pro „Mail“, „Chat“, „Intranet“, „Klient-A“.
- Profil „Osobní“: kontejnery pro „Sociální“, „Nákupy“, „Banky“; agresivní blokování třetích stran.
- Profil „Citlivý“: bez pluginů, bez přetrvávajících přihlášení, automatické mazání storage při zavření prohlížeče.
Doporučený referenční setup pro organizaci
- Managed profil: vynucený přes MDM/GPO, seznam schválených rozšíření, zakázaný sync do soukromých účtů.
- Mapování domén do kontejnerů: mail, CRM, billing, zdrojový kód – každé v samostatném kontejneru.
- Politika partitioningu: ve výchozím stavu zapnutý; výjimky pouze po rizikové analýze a dokumentaci účelu.
- Hardening: blok notifikací, přísná oprávnění médií, zakázaný „background sync“ a experimentální API bez potřeby.
Checklist implementace
- Definujte role a mapujte je na profily; každému přiřaďte vizuální identitu.
- Zaveďte kontejnery pro opakující se domény a zapněte pravidla „always open in“.
- Ověřte izolaci stránek a monitorujte její dopad na výkon.
- Zapněte partitioning cookies a cache; kontrolujte, zda kritické aplikace fungují.
- Minimalizujte a auditujte rozšíření; logujte změny a oprávnění.
- Nastavte automatické čištění storage pro citlivé profily a dočasné kontejnery pro neznámé odkazy.
Časté omyly a jak se jim vyhnout
- „Inkognito stačí“: režim inkognito neřeší fingerprinting ani procesovou izolaci; je vhodný jen pro lokální stav relace.
- „Stačí blokovat cookies“: bez partitioningu a kontejnerů unikají metadata skrze jiná úložiště a požadavky.
- „Rozšíření jsou neškodná“: každé rozšíření zvyšuje entropii a riziko; nasazujte s mírou.
Shrnutí: vrstevnatý přístup k soukromí v prohlížeči
Profily umožňují oddělit světy, kontejnery izolují účty a domény v rámci dne a izolace stránek vytváří tvrdé bezpečnostní hranice na úrovni procesu. Spolu s partitioningem úložišť a rozumným minimem rozšíření jde o praktickou, škálovatelnou a udržitelnou cestu k vyššímu soukromí a odolnosti. Tajemstvím úspěchu je disciplína a automatizace: jasná pravidla, vizuální stopy, výchozí kontejnery a pravidelné audity.
