Fingerprinting przeglądarki: Canvas, WebGL i czcionki wyjaśnione

Za każdym razem, gdy Twoja przeglądarka ładuje stronę, ujawnia zaskakującą ilość informacji o sobie. odcisk palca to kombinacja tych atrybutów, zhashowanych w identyfikator, który często jest na tyle unikalny, aby rozpoznać Cię przy następnej wizycie — nawet w nowym oknie incognito bez ciasteczek. Siła tkwi w kombinacji: każdy pojedynczy atrybut jest powszechny, ale dziesiątki razem rzadko są dzielone przez dwie osoby.

Najbardziej informacyjne sygnały to:

• Odcisk palca z użyciem Canvas — strona rysuje ukryty tekst i kształty na <płótnie> i odczytuje piksele. Małe różnice w GPU, sterownikach i renderowaniu czcionek sprawiają, że wynik jest subtelnie unikalny dla każdej maszyny.
• Odcisk palca z użyciem WebGL — podobna idea z użyciem renderowania 3D; ujawnia również bezpośrednio producenta GPU i ciąg renderera.
• Zainstalowane czcionki — zestaw czcionek, które ma Twój system, badany przez pomiar wymiarów tekstu, jest bardzo wyróżniający.
• User-agent, język, strefa czasowa i ekran — system operacyjny, wersja przeglądarki, lokalizacja, przesunięcie strefy czasowej oraz metryki ekranu/okna.
• Wskazówki sprzętowe — liczba rdzeni CPU, pamięć urządzenia, dziwactwa w stosie audio i wsparcie dla dotyku.

Ponieważ są one odczytywane za pomocą zwykłych interfejsów API JavaScript, odciskowanie nie wymaga zgody i nie pozostawia oczywistych śladów.

Badacze mierzą odciski palców w kategoriach entropii — ile identyfikujących informacji niesie sygnał. Projekty takie jak AmIUnique i CreepJS zbierają miliony próbek i pokazują, że pełny odcisk palca często czyni przeglądarkę unikalną wśród wszystkich testowanych. Praktyczna konkluzja: strona może ponownie zidentyfikować powracającego odwiedzającego tylko na podstawie odcisku palca.

Dlatego proxy lub VPN to tylko część obrazu. Zmiana adresu IP wyjścia uniemożliwia docelowemu serwisowi zobaczenie twojego prawdziwego adresu i oddziela twoją tożsamość sieciową — co jest naprawdę ważne i coś, co możesz zweryfikować za pomocą narzędzi co-to-jest-mój-ip i informacje o IP. Ale jeśli twój odcisk palca pozostaje niezmieniony, strona, która wykonuje fingerprinting, nadal może stwierdzić, że "nowy" odwiedzający to ta sama przeglądarka. Solidne oddzielenie oznacza zmianę zarówno adresu IP, jak i odcisku palca jednocześnie, co dokładnie próbują zrobić przeglądarki anty-detekcyjne — zobacz nasz przewodnik po przeglądarkach anty-detekcyjnych.

Obrony obejmują przeglądarki anty-fingerprintingowe (Tor Browser normalizuje wiele sygnałów, aby użytkownicy dzielili się jednym odciskiem palca; Firefox ma resistFingerprinting) oraz narzędzia do fałszowania na poziomie profilu. Blokowanie JavaScriptu pokonuje większość fingerprintingu, ale łamie większość stron, więc rzadko jest praktyczne.

Nie możesz sprawić, aby odcisk palca zniknął, ale możesz zmniejszyć jego widoczność. Praktyczne kroki: utrzymuj swoją przeglądarkę w powszechnej, aktualnej wersji, aby wtopić się w tłum; unikaj rzadkich pakietów czcionek i egzotycznych rozszerzeń, które dodają entropii; rozważ przeglądarkę, która aktywnie normalizuje sygnały (Tor Browser lub Firefox z resistFingerprinting), jeśli celem jest maksymalna jednorodność. Do pracy z wieloma kontami użyj przeglądarki antydetekcyjnej, aby nadać każdemu profilowi spójny odcisk palca, a nie losowe wartości, które się ze sobą kłócą. Cokolwiek wybierzesz, utrzymuj również spójność po stronie sieci: kieruj profil przez proxy lub VPN, którego geografia wyjścia odpowiada strefie czasowej i lokalizacji, które deklaruje odcisk palca, i upewnij się, że nie ma wycieku WebRTC lub DNS, który ujawnia twój prawdziwy adres za tunelem.