Segmentace online identity: využití profilů prohlížeče k oddělení aktivit

Proč oddělit profily prohlížeče: pracovní, osobní a bankovní

Oddělení online činností do samostatných profilů výrazně snižuje riziko sledování, křížové kontaminace cookies a úniku údajů. Každý profil má vlastní cookies, přihlášení, historii, rozšíření a nastavení. To znamená, že analytické a reklamní skripty z osobního profilu nevidí vaše pracovní přihlášení a bankovní relace zůstávají mimo dosah ostatních karet a doplňků.

• Soukromí: méně datových vazeb mezi doménami a menší digitální otisk.
• Bezpečnost: kritické úkoly (bankovnictví) probíhají v prostředí bez rizikových doplňků a testovacích webů.
• Ergonomie: oddělené záložky, motivy, panely a automatická přihlášení snižují počet chyb uživatele.

Model hrozeb a co lze realisticky získat

S čím oddělení profilů pomáhá: sledovací prvky vázané na cookies, cookies třetích stran, automatická přihlášení na nesprávných webech, riziková rozšíření s přístupem ke „všem stránkám“.

S čím úplně nepomáhá: s pokročilým fingerprintingem (rozlišení obrazovky, fonty, WebGL, časování), síťovým sledováním na úrovni ISP/proxy nebo malwarem v systému. K omezení těchto rizik slouží doplňková opatření: režimy proti fingerprintingu, DNS přes HTTPS, izolace sítě, aktualizace operačního systému a prohlížeče.

Doporučená struktura profilů

1. Osobní profil: běžné weby, sociální sítě, zprávy, nakupování. Rozšíření: blokátory reklam a trackerů, správce hesel.
2. Pracovní profil: pouze pracovní nástroje a firemní SSO. Rozšíření schválená IT oddělením. Synchronizace pouze s firemním účtem.
3. Bankovní profil (vysoce uzavřený): žádná rozšíření kromě správce hesel a případně uBlocku v přísném režimu; zakázáno automatické otevírání externích odkazů; historie a přihlášení pouze pro finanční instituce.

Profily vs. anonymní okno vs. kontejnery

Chrome/Chromium (Chrome, Edge, Brave): vytvoření a důkladné zabezpečení

1. Vytvořte profil: Avatar vpravo nahoře → Přidat. Pojmenujte ho například „Práce“, „Osobní“, „Banky“; přiřaďte mu barvu/ikonu.
2. Samostatná synchronizace: Přihlaste pouze příslušný účet (Google/Microsoft). U bankovního profilu synchronizaci často vypněte nebo povolte pouze hesla s vlastní šifrovací passphrase (Chrome), případně synchronizaci bez historie.
3. Rozšíření:
   • Osobní: blokátor reklam, blokátor cookies třetích stran, správce hesel, doplněk pro kontrolu úniků údajů (integrace haveibeenpwned).
   • Pracovní: pouze firemní rozšíření schválená IT; tam, kde to není potřeba, vypněte přístup ke všem stránkám.
   • Bankovní: pouze správce hesel; ostatní rozšíření odstraňte nebo vypněte. Zapněte „Always HTTPS“ a „Enhanced Safe Browsing“ v souladu s pravidly.
4. Cookies třetích stran: Globálně nastavte „Blokovat cookies třetích stran“; pro bankovní domény přidejte výjimky „Povolit“, pokud je to nutné pro SCA/3-D Secure.
5. Pravidla pro stahování a protokoly: V bankovním profilu vypněte automatické otevírání stažených souborů. Zakázat oznámení webů a prohlížeče.
6. Spouštění s profilem: Vytvořte zástupce s parametrem --profile-directory="Profile 2" nebo --profile-directory="Work". Na ploše mějte tři zástupce s různými ikonami.

Firefox: profily a Multi-Account Containers

1. Profily: Otevřete about:profiles → Create a New Profile. Zvolte „Práce“, „Osobní“, „Banky“.
2. Firefox Multi-Account Containers (MAC): V osobním profilu nainstalujte MAC a vytvořte kontejnery pro sociální sítě, nakupování a e-mail. Bankovní domény ponechte mimo ně nebo v samostatném profilu bez MAC.
3. Ochrana proti fingerprintingu: Zapněte Strict ETP; podle potřeby také Resist Fingerprinting (v nastavení about:config může tato volba některé weby poškodit). V bankovním profilu ponechte výchozí nastavení, aby SCA fungovalo.
4. Rozšíření: Stejný princip jako u Chromium: v bankovním profilu minimum rozšíření. Karty Firefox Container Tabs barevně odlište.
5. Spouštění s profilem: Vytvořte zástupce s parametry -P "Praca" a -no-remote, pokud spouštíte více instancí.

Safari (macOS): profily a omezení

• Profily: V Safari → Settings → Profiles vytvořte profily „Osobní“, „Práce“, „Banky“. Každý profil má vlastní oblíbené položky, historii a cookies.
• Rozšíření: V bankovním profilu ponechte pouze nezbytná rozšíření. Rozšíření Safari jsou systémová; vypněte je v konkrétních profilech.
• iOS/iPadOS: Profily Safari jsou k dispozici; na mobilních zařízeních zvažte samostatné prohlížeče (viz níže).

Mobilní zařízení: praktické oddělení

• Android: používejte Firefox pro bankovnictví (bez doplňků), Chrome/Brave pro osobní použití, Edge pro práci. Případně použijte Work Profile (Android Enterprise) pro firemní aplikace.
• iOS: profily v Safari nebo kombinace prohlížečů: Safari pro bankovnictví, Firefox Focus pro jednorázové vyhledávání, Chrome pro osobní použití.

Správce hesel, 2FA a passkeys v oddělených profilech

• Správce hesel: používejte jednoho důvěryhodného správce napříč profily, ale v bankovním profilu mějte automatické vyplňování vypnuté; údaje vyplňujte ručně pomocí zkratky.
• 2FA: upřednostněte aplikace (TOTP) nebo hardwarové klíče. V bankovním profilu povolte pouze autentizační nástroje, které banka podporuje. Nikdy nepřesměrovávejte SMS kódy přes desktopové aplikace.
• Passkeys (WebAuthn): ukládejte je do správce hesel nebo do systémového úložiště v zařízení; mějte záložní klíče.

Rozšíření: povolit, zakázat, omezit

Největší slabinou jsou rozšíření s přístupem ke všem stránkám. V bankovním profilu povolte pouze:

• správce hesel,
• případně jednoduchý blokátor bez dynamického skriptování.

V osobním profilu povolte kvalitní blokátory a ochranu proti trackerům; omezte oprávnění na „On click“ a „On specific sites“.

Nastavení cookies a místního úložiště

• Výchozí nastavení: blokovat cookies třetích stran a v bankovním profilu při zavření prohlížeče cookies mazat.
• Výjimky: přidejte bankovní domény mezi „Povolit“, aby fungovala přihlášení a SCA.
• Úložiště: v bankovním profilu pravidelně čistěte Local Storage a Service Workers.

DNS, síť a certifikáty

• DNS přes HTTPS/TLS: nastavte systémově nebo v prohlížeči; toto nastavení udržujte jednotné pro všechny profily.
• VPN: pokud ji používáte, zvolte důvěryhodného poskytovatele; u bankovnictví zvažte nepoužívat VPN kvůli anomáliím při ověřování.
• HSTS/HTTPS-Only Mode: zapněte ve všech profilech; v bankovním profilu bez výjimek.

Ergonomie a „lidské“ chyby

• Profily zřetelně odlište barvou a jednoznačně pojmenujte.
• Na hlavním panelu/doku mějte samostatné zástupce pro každý profil s vlastní ikonou.
• Ve správcích odkazů nastavte možnost „Otevřít v…“ s příslušným profilem (pomocí parametrů spouštění).

Parametry spouštění a praktické zástupce

• Chrome/Edge/Brave: --profile-directory="Banky" nebo název složky profilu.
• Firefox: -P "Banky" -no-remote pro souběžné spuštění.
• macOS: vytvořte samostatné aplikace Automator pro spouštění s profily.

Zálohování a migrace profilů

• Chromium (Windows): %LOCALAPPDATA%[Vendor][Browser]User Data → složky Default, Profile 1…
• Chromium (macOS): ~/Library/Application Support/[Browser]/
• Firefox (Windows): %APPDATA%MozillaFirefoxProfiles
• Firefox (macOS): ~/Library/Application Support/Firefox/Profiles/

Zálohujte vypnutý prohlížeč. Při migraci mezi počítači upřednostněte vestavěnou synchronizaci (Firefox Sync používá end-to-end šifrování; Chrome umožňuje nastavit vlastní šifrovací passphrase pro hesla).

Firemní prostředí: zásady a compliance

• Nastavte Enterprise Policies: whitelist/blacklist rozšíření, povinnou instalaci pouze auditovaných doplňků, blokování vývojářských režimů.
• Vynucujte oddělení pracovního profilu a zákaz synchronizace s osobními účty.
• Zaznamenávejte pouze metadata v souladu s GDPR; obsah relací nezaznamenávejte.

Nejčastější chyby a jak se jim vyhnout

• Otevření „náhodného“ odkazu v bankovním profilu: v tomto profilu vypněte integrace chatu/e-mailu.
• Rozšíření „na všech stránkách“: přepněte na „na kliknutí“ a zkontrolujte oprávnění.
• Míchání účtů Google/Microsoft: v pracovním profilu buďte přihlášeni pouze pracovním účtem.
• Ignorování aktualizací: zapněte automatické aktualizace prohlížeče i rozšíření.

Kontrolní seznam pro vedení

• Vytvořit 3 profily: Osobní, Práce, Banky.
• Nastavit barvy, ikony a zástupce na panelu.
• Zapnout blokování cookies třetích stran (všechny), výjimky nastavit pouze pro banky.
• Minimalizovat počet rozšíření; v bankovním profilu ponechat pouze správce hesel.
• Nastavit DNS přes HTTPS a režim HTTPS-Only.
• Nakonfigurovat správce hesel a 2FA/hardwarové klíče.
• Vytvořit zálohy profilů nebo zapnout šifrovanou synchronizaci.

Postup pro bankovní profil: krok za krokem

1. Vytvořte čistý profil a přejmenujte ho na „Banky“.
2. Zakázat všechna rozšíření; nainstalujte pouze správce hesel (pokud ho potřebujete).
3. Zapněte blokování cookies třetích stran; v případě potřeby přidejte výjimky pro své banky.
4. Zapněte HTTPS-Only a vypněte webová oznámení, geolokaci a přístup ke kameře/mikrofonu.
5. Vytvořte záložky přímo na bankovní URL; odstraňte vyhledávací moduly třetích stran.
6. Nastavte zástupce pro spuštění tohoto profilu a připněte ho na panel.
7. Jednou měsíčně vymažte data webů a zkontrolujte aktualizace.

Pokročilé: omezení fingerprintingu

• Firefox: zvažte Resist Fingerprinting a rozšíření omezující API; počítejte s možnými problémy.
• Chromium: využijte nastavení Privacy Sandbox a pravidelně čistěte identifikátory.
• Snižte počet fontů a vypněte nepotřebná experimentální API.

Reakce na incident: co dělat, když se něco pokazí

• Podezřelá přihlášení: okamžitě změňte heslo, zkontrolujte přihlášené relace a odvolejte tokeny.
• Podezřelý doplněk: odinstalujte ho, vymažte data profilu a obnovte profil ze zálohy.
• Únik údajů o kartě: zablokujte kartu, nastavte nové 2FA a zkontrolujte pravidla oznámení o transakcích.

Shrnutí

Oddělení profilů prohlížeče je levným a účinným opatřením na ochranu soukromí. Dobře navržený osobní, pracovní a bankovní profil snižuje množství propojení mezi jednotlivými prostředími, omezuje útočnou plochu rozšíření a výrazně snižuje riziko, že se přihlásíte nesprávným účtem nebo odešlete citlivé údaje na neznámou stránku. Přidáte-li k tomu disciplinované chování, správce hesel, 2FA a základní síťová opatření, získáte robustní, ale pohodlnou každodenní praxi.