Хеш отпечатка Canvas

Что раскрывает хеш отпечатка Canvas

Отпечаток Canvas — одна из самых тихих техник слежения в сети, и этот инструмент позволяет вам увидеть, как это происходит с вашим собственным устройством. Он просит ваш браузер нарисовать небольшую картинку — немного текста, пару цветных прямоугольников и круг — на закадровом холсте, а затем сводит это отрендеренное изображение к одному короткому хешу. Поскольку рисунок невидим и не требует разрешения, сайты могут использовать его, чтобы узнавать вас между посещениями, даже когда вы блокируете файлы cookie. Обращайтесь к этому инструменту, когда хотите увидеть, устойчив ли ваш браузер к слежению через canvas, сравнить, как ведут себя разные браузеры, или просто понять, почему двух людей, смотрящих на одну и ту же страницу, можно различить лишь по картинке, которую ни один из них никогда не видел.

Почему один и тот же рисунок даёт разный хеш на каждом устройстве

Хитрость в том, что «нарисуй этот текст» не детерминировано на разных машинах. Точные пиксели зависят от вашего GPU, вашего графического драйвера, установленных шрифтов, сглаживания и субпиксельного рендеринга операционной системы, а также от того, как растеризуются эмодзи. Эти крошечные различия невидимы для вашего глаза, но очень реальны в пиксельных данных. Вот конвейер, который выполняет этот инструмент:

• Он рендерит текст и фигуры на холсте 320×80, включая эмодзи-замок и наложенные полупрозрачные заливки, которые нагружают растеризатор.
• Он вызывает canvas.toDataURL(), который сериализует результат в PNG data URL, закодированный в Base64.
• Он подаёт эти байты в crypto.subtle.digest('SHA-256', ...), встроенный в браузер движок Web Crypto.
• Он выводит дайджест как 64-символьную шестнадцатеричную строку.

SHA-256 — это односторонний криптографический хеш: он всегда даёт 256 битов (64 шестнадцатеричных символа), и нет способа запустить его в обратном направлении, чтобы восстановить изображение. Для слежения важно то, что одинаковые пиксели всегда дают одинаковый хеш, тогда как один перевёрнутый пиксель даёт совершенно другой. Так что ваша машина обычно возвращает один и тот же хеш каждый раз, когда вы кликаете, а друг на другом оборудовании возвращает другой — стабильная метка без файлов cookie.

Как читать ваш результат и защищаться от него

Запустите инструмент дважды. Если вы оба раза получаете одинаковый хеш, ваш браузер раскрывает стабильный отпечаток canvas, за который могут зацепиться трекеры. Если хеш меняется при каждом клике, ваш браузер намеренно вносит немного случайного шума в чтение canvas — подход, который применяют Tor Browser и Brave, — что является хорошим признаком приватности. Некоторые усиленно защищённые конфигурации полностью блокируют чтение canvas, и тогда вы увидите ошибку вместо хеша. Несколько практических замечаний:

• Сам по себе хеш canvas не является персональными данными, но в сочетании с другими сигналами он становится устойчивым идентификатором, и именно поэтому его стоит проверять вместе с другими вашими уязвимостями.
• Идеальная блокировка canvas может парадоксально сделать вас более узнаваемым, ведь блокируют его очень немногие посетители — обычно лучше сливаться с толпой, чем выделяться.
• Смена вашего IP-адреса ничего не делает с вашим хешем canvas; эти две вещи независимы, поэтому защита вашей сетевой идентичности с помощью VPN и уменьшение отпечатка устройства — это отдельные задачи, которые нужно решать вместе.

Ваша приватность здесь

Весь процесс происходит на этой странице, в вашем браузере. Холст рисуется локально, хешируется локально криптографической реализацией вашего собственного устройства, а полученная шестнадцатеричная строка показывается вам и никому другому. Ничего не загружается, и мы никогда не получаем и не храним ваш отпечаток — вы можете убедиться, что кнопка «Сгенерировать» не вызывает ни одного сетевого запроса.