Czego plik PAC może się dowiedzieć o stronach, które otwierasz?
Rozpatruj skrypt routingu i jego pomocniki DNS osobno od TLS celu i sprawdź, czy przeglądarka usuwa ścieżki HTTPS przed oceną PAC.
Decyzja PAC zapada przed połączeniem HTTPS z celem. FindProxyForURL(url, host) nadal potrzebuje danych wejściowych routingu, w tym nazwy hosta.
Co jeszcze dociera do skryptu, zależy od przeglądarki i wersji. Dokumentacja PAC opisuje różnice w HTTPS; Chromium usuwa wrażliwe dane ścieżki i zapytania. Reguła dotycząca pełnej ścieżki HTTPS może więc nie mieć takich danych. Historyczne zachowanie z pełnym adresem URL nie jest uniwersalnym kontraktem współczesnych przeglądarek.
Przetwarzanie nazwy hosta pozostaje, a pomocniki DNS mogą zacząć wyszukiwania podczas oceny. Szyfrowanie późniejszego żądania do witryny nie ukrywa tej wcześniejszej pracy routingu.
Utrzymuj źródło skryptu w ocenie prywatności: konfiguracja ręczna, zarządzanie urządzeniami lub wykrywanie. Korzystaj z zatwierdzonego dostarczania i badaj nieoczekiwane zmiany. Potwierdź który skrypt przeglądarka faktycznie pobrała w ramach tej oceny. Skrypt może wybrać niechcianego pośrednika, nie widząc całego adresu HTTPS.
Zapisuj wersję przeglądarki, obowiązującą politykę, pochodzenie skryptu i rzeczywiste dane wejściowe funkcji. To określa, czego ten program routingu może się dowiedzieć i na co wpłynąć.