כמעט כל אתר פותח באותה בקשה: באנר קטן שמבקש לאשר עוגיות, ואתם לוחצים "מאשר" כדי להגיע לתוכן. עוגייה (cookie) היא פיסת טקסט קטנה שהאתר שומר אצלכם בדפדפן כדי שיזהה אתכם בפעם הבאה. מה שהבאנר לא מספר הוא שהעוגייה הקריטית לאבטחת החשבון שלכם היא בדיוק זו שאף אחד לא מציע לכם לכבות.

אז מה עוגייה באמת עושה?

בואו נתחיל מהבעיה שהיא פותרת. האתר לא זוכר אתכם. כל בקשה שהדפדפן שולח לשרת מגיעה כאילו היא הראשונה. אז אחרי שהזנתם שם משתמש וסיסמה, השרת מחזיר לדפדפן מחרוזת תווים קצרה, והדפדפן מצמיד אותה לכל בקשה מאותו רגע. כך האתר יודע שהבקשה הבאה היא שלכם. למחרוזת הזאת קוראים עוגייה.

הדימוי הקרוב ביותר הוא מלתחה. מסרתם מעיל, קיבלתם דיסקית ממוספרת. הדיסקית לא מספרת שום דבר עליכם, אבל מי שמגיע לדלפק ומוסר אותה מקבל את המעיל. גם האתר לא בודק שוב מי אתם. הוא בודק את הדיסקית.

למה יש שני סוגים שונים לגמרי?

העוגייה שמחזיקה אתכם מחוברים לחשבון, עוגיית ה-session, היא זו מהדוגמה למעלה. בלעדיה הייתם מזינים סיסמה בכל לחיצה על קישור.

הסוג השני הוא זה שהבאנר מדבר עליו. כשאתר מטמיע בתוכו רכיב של רשת פרסום, אותה רשת שומרת בדפדפן עוגייה משלה, וזו מופיעה גם באתרים אחרים שמטמיעים אותו רכיב. כך רשת הפרסום רואה את המסלול שלכם ובונה פרופיל. לאלה קוראים עוגיות של צד שלישי, והן הסיבה שהבאנר קיים.

הבאנר הוא שאלה על פרטיות, לא על אבטחה.

ואיפה זה פוגש אתכם?

חזרתם לאתר קניות אחרי יומיים, והעגלה עוד מחזיקה את מה ששמתם בה. זו עוגייה.

הסתכלתם על מזגן באתר אחד, ואותו מזגן רודף אחריכם בפרסומות באתר חדשות. זו עוגייה של צד שלישי.

והצד שפחות מדברים עליו: מי שמשיג את עוגיית ה-session שלכם נכנס לחשבון בלי סיסמה ובלי קוד אימות, כי מבחינת האתר הוא פשוט מסר דיסקית תקפה. בדיוק בשביל זה נוזקות שגונבות מידע מחפשות בדפדפן לא רק סיסמאות שמורות אלא גם את העוגיות. כך עבד תוסף כרום שגנב את החיבור הפתוח לחשבון הבנק, והרחבנו על זה בכתבה על חטיפת session.

מה עושים?

במחשב שאינו שלכם התנתקו מהחשבון, ואל תסתפקו בסגירת החלון. יציאה מסודרת מבטלת את העוגייה גם בצד השרת, וסגירת טאב עלולה להשאיר אותה תקפה למי שיישב שם אחריכם.

חסמו עוגיות של צדדים שלישיים. בכרום זה בהגדרות > פרטיות ואבטחה > עוגיות של צדדים שלישיים, ובספארי ובפיירפוקס החסימה פועלת כברירת מחדל. זה מצמצם את המעקב ולא מנתק אתכם מאף חשבון.

ההגנה האמיתית על עוגיית ה-session היא לא הבאנר אלא לשמור נוזקות מחוץ למחשב. אל תדביקו פקודות שאתר מבקש מכם להריץ, ואל תתקינו תוכנה מפרסומת ממומנת בחיפוש.

ואם עולה חשד שמישהו נכנס לחשבון, חפשו בהגדרות את ההתחברויות הפעילות. בגוגל, בפייסבוק ובוואטסאפ יש כפתור שמנתק את כל המכשירים בבת אחת, ומבטל כל עוגייה שנגנבה.

הבאנר שאתם מאשרים כל יום שומר על הפרטיות שלכם. על החשבון שומר משהו אחר לגמרי: שהדיסקית לא תעזוב את המחשב.