Хеш відбитка Canvas

Що розкриває хеш відбитка Canvas

Відбиток Canvas — одна з найтихіших технік стеження в мережі, і цей інструмент дає вам змогу побачити, як це відбувається з вашим власним пристроєм. Він просить ваш браузер намалювати невеличку картинку — трохи тексту, пару кольорових прямокутників і коло — на закадровому полотні, а потім зводить це відрендерене зображення до одного короткого хеша. Оскільки малюнок невидимий і не потребує дозволу, сайти можуть використовувати його, щоб упізнавати вас між відвідинами, навіть коли ви блокуєте файли cookie. Звертайтеся до цього інструмента, коли хочете побачити, чи стійкий ваш браузер до стеження через canvas, порівняти, як поводяться різні браузери, або просто зрозуміти, чому двох людей, що дивляться на ту саму сторінку, можна розрізнити лише за картинкою, якої жоден із них ніколи не бачив.

Чому той самий малюнок дає інший хеш на кожному пристрої

Хитрість у тому, що «намалюй цей текст» не є детермінованим на різних машинах. Точні пікселі залежать від вашого GPU, вашого графічного драйвера, встановлених шрифтів, згладжування та субпіксельного рендерингу операційної системи, а також від того, як растеризуються емодзі. Ці крихітні відмінності невидимі для вашого ока, але дуже реальні в піксельних даних. Ось конвеєр, який виконує цей інструмент:

• Він рендерить текст і фігури на полотні 320×80, включно з емодзі-замком та накладеними напівпрозорими заливками, що навантажують растеризатор.
• Він викликає canvas.toDataURL(), який серіалізує результат у PNG data URL, закодований у Base64.
• Він подає ці байти у crypto.subtle.digest('SHA-256', ...), вбудований у браузер рушій Web Crypto.
• Він виводить дайджест як 64-символьний шістнадцятковий рядок.

SHA-256 — це однобічний криптографічний хеш: він завжди дає 256 бітів (64 шістнадцяткові символи), і немає способу запустити його у зворотному напрямку, щоб відновити зображення. Для стеження важливо те, що однакові пікселі завжди дають однаковий хеш, тоді як один перевернутий піксель дає зовсім інший. Тож ваша машина зазвичай повертає той самий хеш щоразу, коли ви клацаєте, а друг на іншому обладнанні повертає інший — стабільна мітка без файлів cookie.

Як читати ваш результат і захищатися від нього

Запустіть інструмент двічі. Якщо ви обидва рази отримуєте однаковий хеш, ваш браузер розкриває стабільний відбиток canvas, за який можуть учепитися трекери. Якщо хеш змінюється за кожним клацанням, ваш браузер навмисно вносить трохи випадкового шуму у зчитування canvas — підхід, який застосовують Tor Browser і Brave, — що є хорошою ознакою приватності. Деякі посилено захищені конфігурації повністю блокують зчитування canvas, і тоді ви побачите помилку замість хеша. Кілька практичних зауважень:

• Сам собою хеш canvas не є персональними даними, але в поєднанні з іншими сигналами він стає стійким ідентифікатором, і саме тому його варто перевіряти разом з іншими вашими вразливостями.
• Ідеальне блокування canvas може парадоксально зробити вас більш упізнаваним, адже блокують його дуже небагато відвідувачів — зазвичай краще зливатися з натовпом, ніж виділятися.
• Зміна вашої IP-адреси нічого не робить із вашим хешем canvas; ці дві речі незалежні, тож захист вашої мережевої ідентичності за допомогою VPN і зменшення відбитка пристрою — це окремі завдання, які потрібно вирішувати разом.

Ваша приватність тут

Увесь процес відбувається на цій сторінці, у вашому браузері. Полотно малюється локально, хешується локально криптографічною реалізацією вашого власного пристрою, а отриманий шістнадцятковий рядок показується вам і нікому іншому. Нічого не завантажується, і ми ніколи не отримуємо й не зберігаємо ваш відбиток — ви можете переконатися, що кнопка «Згенерувати» не спричиняє жодного мережевого запиту.