サードパーティCookieは削除必須！

これに関するリンク持ってる？どの機関がどんな議論をしたのか気になるな。

これだよ：https://www.gov.uk/cma-cases/investigation-into-googles-priv…

どうやらCMAはサードパーティCookieから利益を得てる他の広告主たちのことを心配してるみたいだね。ユーザーのプライバシーには関心がない。あの可哀想な数十億ドル産業は、どうやってやっていくんだろうね？

彼らの任務は競争を規制することであって、プライバシーじゃないからね。

またか、「”信頼できる”」サードパーティベースの追跡システムだって？トイレットペーパーに印刷されてても避けるのに必要な情報はそれだけだよ。

うん、まさに「”信頼できる”」サードパーティだね。例えばこれ：https://blog.mozilla.org/en/mozilla/mozilla-anonym-raising-t… Mozillaが所有してて、元Facebook社員が運営してるんだって。きっとこのW3CドラフトがMozillaとFacebookの社員によって書かれたのは全くの偶然だろうね。

自分のプライバシー保護に役立つアトリビューションデータベースをどうやって編集できるのか誰か説明してほしいな。ローカルのSQLiteデータベースとかかな？好みをローカルに保存するのに、編集させてくれないなんて馬鹿げてると思うんだ。

Googleのデザインだと追跡データはローカルに保存されるよ。Chromeには既に関心のトピックを管理するためのUIがある：chrome://settings/adPrivacy

サードパーティCookieがなくなったら、追跡してる連中はウェブサイトにスクリプトをサーバーに入れさせて、Cookieをまた”ファーストパーティ”にしちゃうだけじゃん。
これって追跡の方法じゃなくて追跡自体への対策をしないと、ネットにとって何の役にも立たないと思うんだけどな。

これって結局trustの問題だよね。
サードパーティの広告会社は、ファーストパーティが正直にインプレッションとかクリックを報告するかって信用してないんだよ。偽造しないかってね。

逆方向にもtrust問題はあるよ。
開発者やセキュリティチームとマーケティング部門の間で、ファーストパーティのサイトに解析や追跡、ad attributionのためにサードパーティのコードを入れたり、ドメインをプロキシしたりすることについて、すげー揉めてるの見てきたもん。

trustの問題を解決するためのcryptographyなんていくらでもあるじゃん。
サードパーティCookieがなくなって半年以内に、広告会社とサーバーオーナーの両方が納得するようなimpression signing systemが誰か作るって断言できるね。

そりゃどうかな。
彼らのscriptなんて”fetch that script from that URL and run it”ってだけかもよ。
clientでどのscriptが動いてようと、彼らの側にはfraud detectionsが既にあるはずだよ。

＞ ”fetch that script from that URL and run it”
でもサードパーティcookieがないと、追跡してるremote siteは、そのscriptが実際にdownloadされたか、executedされたか確認できないんじゃない？

Generate dynamic, short lifetime URLs that are locked to the client IP.

ああ、できるよ。
もし彼らのscriptがそのtrackerに3rd party xhr requestを送ってるならね。

でもこのrequest、もしfirst partyがtrafficをfakedしたかったら（for example, to make ad revenue）、fakedできちゃうじゃん。
今まさにこのfakingを防いでるのがthird party cookieなんだよ。

もうそんなの古いわ。これからの時代はサイトからベンダーへのサーバー間通信だって。クライアントをプロファイルはするけど、クライアント側で追跡JSは動かさないの。

それ、めちゃくちゃ金かかるんだけどね。訪問者に全部やらせてた代わりに、追跡APIサーバーに繋ぐために追加でサーバー用意しなきゃいけないんだよ。広告市場にかなり影響しそう。

そんなに金かかるとは思わないけどな。インストール簡単な、よくできたパッケージ一つあれば標準になるって。なんならデータブローカーがこれ集中させて、クライアントみんなに追跡データ配る形だってありえると思う。クライアントは中央のブローカーとやり取りするだけだし、全然難しくないよ。

その仕組み、もうあるよ。Supply Side Platforms（SSP）って言われてるやつ。

スケールが小さいなら確かにね。ある規模になったら、それを非同期タスクキューとかにしなきゃいけなくなるだろうけど。てか、俺はこれバグじゃなくて機能だと思うわ。プライバシー侵害が難しく、高くなるのは良いことだろ。

エンドユーザーの家のPCとかじゃなくて、速いクラウドバックエンドでやれるようになるんだよ。ページ読み込み速くなるし、サクサク動くからユーザーも喜ぶだろ。おまけに、アドブロッカーとかhostfileの小細工も使えなくなるんだぜ。

サードパーティのJSをファーストパーティとして埋め込むのはセキュリティ的にマジやばいか、malvertisingにとっては最高って感じ。もう起きてるし、例えば追加のDNSレコード使って広告サーバーをファーストパーティにするみたいな方法でね。次はJSをもっと厳しくする流れになるんじゃないかな。俺は賛成だけど。

たくさんのadtech企業（少なくともaffiliate marketing界隈では）が、third party cookies使えないからredirect使ってると思う。redirectすれば全部first partyになるからね。他でも言われてる通り、proxiesとか他のtechniqueにも乗り換えてて、追跡をblockするのがマジ難しくなってるんだよ。

スクリプトをウェブサーバーに置いても、オリジンが違うからファーストパーティにならないし、サードパーティCookieの回避にはならないと思うんだよね。トラッキングの手法じゃなくて、トラッキング自体を防ぐ保護が必要なんじゃないかな？
だからstate partitioningとかCHIPsは良い技術だと思う。Cookieみたいな既存の標準を残しつつ、ユーザーをクロスサイトトラッカーからデフォルトでしっかり守ってくれるし。

君の意見は役に立たないな。だって、ウェブサーバー管理者がもっと安全にしたいと思ってる前提で話してるけど、実際は逆で、わざとセキュリティモデルを緩くして3rdパーティートラッキングスクリプトを組み込んでる場合が多いんだよ。例えばContent-Security-Policyヘッダーとか、XSS攻撃には効果的だけど、3rdパーティートラッキングスクリプトもブロックしちゃうからね。

僕の言いたいこと、誤解してるね。サーバー管理者がどうしたいかじゃなくて、セキュリティポリシーが許すかって話だよ。もし違うドメインの2つのサイトが、同じスクリプトをそれぞれのドメインから提供しても、3rdパーティCookieの回避策には全然ならない。だってオリジンが違うから。CSPもこの場合、回避にはならないよ。

これ、実際には役に立たないよ。Prebidとか考えると、CriteoのJSはサイトで動いてるけど、ユーザーがカートに何か入れてるかとか、リターゲティングできる対象かは分からない仕組みなんだ。この回避策は、IPとかフィンガープリンティング、AIに頼る方にどんどん向かってる気がする。これ、サードパーティCookieより全然たちが悪いと思うんだよね。だってCookieはまだバカで消すのも簡単だったもん。

アナリティクス用のプロキシはもう既にあるよ。例えばplausibleとか、セットアップ方法教えてるしね。でも3rdパーティCookieって、同じブラウザから違うサイト経由で同じ値が何回も中央サーバーに送られて、ウェブ上で君を追跡できるのがポイントなんだ。グローバルな「君が誰か」っていうのはCookieに入ってるんだよ。

パブリッシャーのサイトにスクリプト入れたって、サイトAからサイトBへの追跡はできないよ。それがサードパーティCookieでできたことなんだから。

サードパーティCookieの正当なユースケースって、複数ドメインに跨がる単一サイトだけじゃない？他にある？
俺的には、ファーストパーティCookieも3rdパーティコンテキストでアクセスできちゃダメだと思うし、理想はCookie全部なくしてクライアント証明書使うべきだと思う。アクセス時にドメイン専用の証明書を送る仕組みにして、状態追跡は全部サーバー側で、証明書と紐付ける。ユーザーはこれをリセットできる。

サードパーティCookieの正当なユースケースね。例えば
1. 社内ポータルに外部サービスを埋め込んで認証。
2. 同じ企業の複数サイトでチャットボット連携。
3. 同じコメントシステム使う複数ブログでログイン共有。
みたいな、今まで便利だった機能かな。他の方法でもできるけど、設定とかユーザーの手間が増えるんだよ。

ケース1と2はURLパラメータで対応できそう。ケース3が一番正当なユースケースっぽいけど、OAuthみたいなフローが必要で、ゼロクリックじゃ無理だよ。あと、コメントプラットフォームが俺がどのブログ見てるか知ったり、アカウントないブログでも情報にアクセスできたりするのって、ちょっとプライバシー的に嫌かも。ユーザーの許可なく起こるより、ブラウザ拡張とかでやる方が良いと思うな。

URLパラメータは簡単に変えられちゃうし、署名しても情報漏れるリスクあるんだよね。複数のドメインにまたがるサイトの話（#3）は、今のWebとは違う作り方だから、どれだけ既存のWebをぶっ壊すかって話になるね。

単一サイトが複数のドメインに分かれてる必要ある？サブドメインはわかるけど、複数ドメインだとめちゃくちゃだし、フィッシング詐欺にあいやすいよ。パスワードマネージャーが安全なのは、ちゃんとドメインとパスワードを紐づけてるからだしね。紛らわしいドメインから情報抜かれやすくなるよ。

会社が合併とか買収されたとき、複数のドメインになるのはよくある話なんだ。ドメインを組織そのものって考えるのは、複雑な組織には合わないんだよね。例えばBank AとBank Bが合併しても、すぐにドメインを一つにはできない期間がある。一時的なこととはいえ、複数ドメインが必要な場面はあるんだよ。

もっとよくあるのは、色々なサイト（それぞれ独自ドメイン）が実は同じSaaSで動いてて、認証とかを共有するケースかな。例えば、レストラン向けのサイト作りサービスで、お店ごとにドメインは違うけど、お客さんから見たら、どこで注文しても支払いとか住所を再入力しなくていい方が便利でしょ。これなら個人情報漏洩のリスクも低いと思うよ。

そうだね、正当なユースケースは確かにあるよ。Webホスティングとかで、アカウントにログインしてたら別サイトでも機能が使えたりね。これは3rd party cookiesがないと難しくて、他の方法だと使い勝手が悪くなるんだ。レストランのオンライン注文システムも同じサービス使ってる場合が多くて、別のお店で同じカード使うとき毎回ログインが必要だけど、3rd party cookiesがあればログインしたまま決済サービスを使えるからもっとスムーズになるよ。

こういうやり方はすごく危険に感じるな。明示的に許可してない情報までアクセスされる可能性があるからね。Webホスティングの例だと、その会社のサイトを見ただけで、ホスティングアカウントにログインしてるかバレるかもしれない。これ、すごく情報漏洩のリスクが高いし、サービス提供者を信用するしかないって状態だよね。決済システムも同じで、変なサイトから支払い情報抜かれる可能性もあるんじゃない？

3rd party cookiesに正当な使い道なんてある？Web使う側から見たら、全くないね。必要だって言われるシナリオは全部作られた話で、結局は「もっと儲けたい」ってことに行きつくんだよ。儲ける側は、ユーザーのためになるって理屈を並べるだろうけど、それは間違い。俺はもう何年も削除してるから。

このクッキーの話、全部ごまかしじゃん。JS有効にしてたら、クッキーあってもなくても追跡できるんだって！何もかもプライベートじゃないよ。nothingprivate.gkr.pwを見てみろ。JS有効でも追跡できないように、Webの仕様をもっと頑張って変えるべきだよ。BraveとかFirefoxとか、プライバシー売りにしてるブラウザも何もしてないじゃん。結局、JS切るしかないの？

面白い問いだね。JavaScriptが色々できて、DOMもいじれても、フィンガープリンティングとか追跡を防ぐなんて無理だと思うな。UI操作のロジックをもっと簡単に表現する方法が必要かもね。CSSがもっと進化するとか？でも、サーバー側で動くJSでプライバシーを守れるとは思えないなぁ。

ブラウザはコンドームみたいに使うべきだって、ずっと思ってたんだよね。ユーザーを特定できるものは全部隠しちゃうべき。マウスの動きとかタイピングの癖もバラバラにして分からなくするの。サイトが拡張機能とか他のタブの情報とか、自分のタブが開いてるかどうかなんて知る権利ないでしょ。右クリックとかズームとか、使いやすくする機能（アクセシビリティ機能）を勝手に変えさせちゃいけないよ。

面白い疑問だね。JavaScriptでtrackingを防ぐのは可能だよ。ネットワークアクセスを制限したり、ユーザーが接続先サーバーを選べるAPIを作ったりすればいい。
JavaScriptが外部と通信できなければ追跡はできないし、APIでユーザーが自分で選んだサーバー以外に接続できないようにすれば、開発者は追跡できない。昔のデスクトップアプリみたいにね。

なんで技術的な解決策じゃなきゃいけないの？
それってメディア業界がDRMでやろうとして失敗したことだよ。
解決策は法整備だね。プライバシー版のDMCAみたいなものが必要だよ。fingerprintを違法にするんだ。

https://nothingprivate.gkr.pwはFirefoxで（動作しない？）うまく動くみたいだよ…
ublock-originは使ってるけど、他には特別なことは何もしてないんだ。

”今となっては、本当にウェブでプライバシーを得るにはJavaScript無効が必要か？”
僕の考えでは、ウェブページ（JavaScriptなし、安全な文書）とウェブアプリ（今のサイト、信頼が必要）を区別すべきだと思う。
普通の人のアプリ状況を見ても、デジタル衛生意識を持つにはまだまだ先が長いってわかるよね。

それは君だけがわかりにくくしようとしてる場合だけだよ。
だからtor browserは特定のサイズ（ピクセル単位）に設定されてたり、利用可能なフォントセットが同じだったりするんだ。

意味ないよ。JavaScriptを無効にしても、他の方法で追跡できるんだ。
timestamp clock skewとかでdns packetsからfingerprintを取ったりね。IPV6を使えば、dnslookupごとにunique ip addressを割り当てて、cookieみたいに機能させられる。
追跡されたくないなら、インターネットを使わないことだね。

ウェブブラウザは排除すべきだよ。
”ウェブサイト”っていう怪しいサーバーから勝手なコードを動かしてるんだ。
トラッカーや広告なしで同じウェブ資源にアクセスできる、最小限のJavaScriptコードを使うスタンドアロンウェブアプリもあるんだよ。