Tag: never

HTTPS 因為安全性而不能使用 Referrer 的問題

在 Nuzzel 上看到老文章在討論 HTTPS 環境下因為安全性考量，而不能帶出 Referrer 的問題：「Where did all the HTTP referrers go?」。

原文中「Fixing Referrers in HTTPS: The Meta Referrer」這邊就有提到 HTML5 meta referrer，也就是 W3C 的「Referrer Policy」，問題是到現在還是 Draft 啊...

也因為過了三年，其實 draft 裡面多了不少參數可以用：

  • never 或 no-referrer 表示不傳。
  • origin 表示只傳 protocol + host 的部份，後面 path 的部份不要傳。
  • default 或 no-referrer-when-downgrade 表示當 downgrade 時 (HTTP request 的部份) 不要傳。
  • origin-when-cross-origin 表示當跨站時用 origin 的邏輯，但本站還是用完整的路徑。
  • always 或是 unsafe-url 則是永遠都傳。

其中刪節號表示 W3C 不建議再使用，應該用後者比較新的。

不過因為在 Can I use 上面可以看到 Microsoft Edge 只支援舊的關鍵字 (也就是刪節號的那些)，所以還是可以考慮先用舊的關鍵字，讓 Microsoft Edge 也可以被保護到：「Referrer Policy」。

Love your country, but never trust its government

從 Hacker News Daily 上看到的，在 Sun-2 的 bootloader 裡可以看到「Love your country, but never trust its government」這樣的字串：「Why the Sun 2 has the message "Love your country, but never trust its government"」。

這段字串是由 John Gilmore 當時在 Sun 開發時所放入的，John Gilmore 同時也是後來 EFF 創辦人之一，不過當初放入這段字串的目的是為了抓到盜版：

Yes. Vinod Khosla, first President of Sun, came to me at one point and said to put something hidden, triggered in an unexpected way, into the ROM Monitor, so that if somebody cloned the Sun Workstation (violating our software’s copyright), we could do that unexpected thing to the competitor’s demo workstation at a trade show and thereby prove that they had cloned it.

過了三十年後 John Gilmore 被挖出來問的回應也是蠻有趣的... (可以參考原文附上的信件)

而這句話現在回頭看也很經典，尤其是最近各國政府想要在 crypto system 裡面放後門的各種反應。