Firefox: проблемы безопасности при отправке заголовков реферера

Question

Недавно я обнаружил, что мне не удается войти на определенные веб-сайты с помощью Firefox. Не уверен, когда именно это начало происходить. Прямо сейчас я использую Firefox 14.0.1. Логины отлично работают в других браузерах.

Самое последнее время дало мне самую описательную ошибку.

Forbidden (403)

CSRF verification failed. Request aborted.

You are seeing this message because this HTTPS site requires a 'Referer header'
to be sent by your Web browser, but none was sent. This header is required for
security reasons, to ensure that your browser is not being hijacked by third 
parties.

If you have configured your browser to disable 'Referer' headers, please 
re-enable them, at least for this site, or for HTTPS connections, or for 
'same-origin' requests.

Это привело меня к поиску ответа на мою проблему в другом вопросе. В about:config для "network.http.sendRefererHeader" было установлено значение "0". Я изменил настройку на "1" и смог успешно войти в систему. Я не помню, чтобы сам настраивал этот параметр, поэтому мне интересно, изменились ли настройки по умолчанию во время обновления.

Мой вопрос, есть ли причина, по которой заголовки реферера должны быть отключены? Это вещь безопасности?

Answer 1

Строка заголовка HTTP_REFERER идентифицирует URL, на котором вы были "активны", когда вы щелкали ссылку и заставляли браузер выдавать другой HTTP-запрос. Это можно считать нарушением конфиденциальности. Многие сайты настаивают на том, что эта строка заголовка установлена правильно как защита от сгенерированных машиной запросов и хотлинкинга.

Возможно, у вас есть надстройка из соображений безопасности, которая может привести к тому, что Firefox не будет отправлять этот заголовок или отправлять поддельные данные в нем.