Jaké signály se používají k fingerprintingu?
Ty klasické, seřazené podle toho, jak jsou výrazné:
- Canvas fingerprinting: web požádá prohlížeč, aby nakreslil malý obrázek, a pak přečte zpět jeho pixely. Drobné rozdíly v grafických ovladačích, modelu GPU a OS vykreslí obrázek trochu jinak, dost jinak na to, aby byl výsledek pro každé zařízení téměř jedinečný.
- WebGL fingerprinting: podobné jako canvas, ale pomocí 3D grafických API. Prozradí váš model GPU a verzi ovladače docela přímo.
- Audio fingerprinting: zpracování zvuku v prohlížeči má drobné číselné rozdíly podle systému. Web může přes API přehrát zvuk (aniž byste ho slyšeli) a přečíst výsledný průběh vlny.
- Výčet písem: jaká písma máte nainstalovaná, je překvapivě výrazný signál. Typický počítač má 50–200 písem; konkrétní seznam se opakuje jen zřídka.
- Velikost obrazovky a hustota pixelů
- Řetězec User-Agent a Client Hints (váš prohlížeč, verze, OS)
- Časové pásmo, jazyk, počet jader procesoru, dostupná paměť, v některých prohlížečích API baterie
Každý z nich sám o sobě je slabý. Dohromady dosahují jedinečnosti v řádu jedna ku milionům.
Proč to funguje, i když blokujete cookies
Cookies třetích stran brzy zmizí ze všech velkých prohlížečů. Fingerprinting je alternativa, ke které se reklamní průmysl už obrátil. Signály, které používá, nejsou „sledovací data“, jejichž poskytnutí můžete odmítnout, jsou to data, která prohlížeč musí poslat, aby se stránka správně vykreslila. Na velikosti obrazovky záleží, protože stránky se jí musí přizpůsobit. Na písmech záleží, protože stránka vybírá to nejlepší. To, že je kombinace jedinečná, je vedlejším efektem toho, že se data vůbec musí posílat.
Jak se prohlížeče brání
Dvě strategie, obě nedokonalé:
- Jednotnost (přístup Toru): všichni uživatelé Toru vypadají stejně. Stejný otisk, stejná velikost obrazovky, stejná písma. Nevýhodou je, že se vám web rozbíjí v mnoha drobnostech: stránky se vykreslují ve „špatné“ velikosti, písma se nahrazují, webové aplikace chybně rozpoznávají vaše zařízení.
- Náhodnost (přístup Brave a Dazr): do signálů se přidává malý šum podle domény. Dvě návštěvy stejného webu vidí konzistentní výsledky (takže přihlášení funguje); dva různé weby vidí různé otisky. To je kompromis, který dělá většina soukromých prohlížečů pro každodenní použití.
Ochrana v Dazr je ve výchozím stavu zapnutá a týká se měření canvas, WebGL, zvuku a písem, s výjimkami pro jednotlivé weby pro ten vzácný web, který se kvůli ní rozbije.
Co s tím můžete skutečně udělat
Možností, jak zmenšit svůj otisk, je málo:
- Používejte prohlížeč s ochranou proti fingerprintingu zapnutou ve výchozím stavu (Dazr, Tor Browser, Brave s přísnými štíty)
- V pokročilém nastavení vypněte API baterie, pluginy a nepotřebné funkce prohlížeče
- Neinstalujte písma, která nepotřebujete
- Mějte na paměti, že ani vypnutí JavaScriptu neodstraní pasivní fingerprinting (hlavičky HTTP, IP, velikost obrazovky z CSS)