Quali segnali vengono usati?
I classici, in ordine di quanto sono distintivi:
- Fingerprinting canvas: un sito chiede al browser di disegnare una piccola immagine, poi ne rilegge i pixel. Piccole differenze in driver grafici, modello di GPU e sistema operativo producono un’immagine leggermente diversa, abbastanza da essere quasi unica per dispositivo.
- Fingerprinting WebGL: simile al canvas, ma con le API di grafica 3D. Rivela in modo piuttosto diretto modello di GPU e versione del driver.
- Fingerprinting audio: l’elaborazione audio del browser ha minime differenze numeriche da sistema a sistema. Un sito può riprodurre un suono tramite l’API (senza che tu lo senta) e leggere la forma d’onda risultante.
- Elenco dei font: quali font hai installato è un segnale sorprendentemente distintivo. Un computer tipico ha 50–200 font; la stessa identica lista si ripete di rado.
- Dimensioni dello schermo e densità di pixel
- Stringa User-Agent e Client Hints (browser, versione, sistema operativo)
- Fuso orario, lingua, numero di core, memoria disponibile, Battery API in alcuni browser
Preso da solo, ognuno di questi segnali è debole. Combinati, raggiungono un’unicità dell’ordine di uno su milioni.
Perché funziona anche se blocchi i cookie
I cookie di terze parti stanno per sparire da tutti i principali browser. Il fingerprinting è l’alternativa a cui l’industria pubblicitaria è già passata. I segnali che usa non sono “dati di tracciamento” che puoi rifiutarti di fornire, ma dati che il browser deve inviare perché la pagina venga visualizzata bene. Le dimensioni dello schermo contano perché le pagine si impaginano in base a esse. I font contano perché la pagina sceglie quello migliore. Il fatto che la combinazione sia unica è un effetto collaterale del dover inviare quei dati.
Come reagiscono i browser
Due strategie, entrambe imperfette:
- Uniformità (l’approccio di Tor): far sembrare identici tutti gli utenti Tor. Stessa impronta, stesse dimensioni dello schermo, stessi font. Lo svantaggio è che il web si rompe in tanti piccoli modi: pagine visualizzate nella dimensione “sbagliata”, font sostituiti, web app che non riconoscono il tuo dispositivo.
- Casualità (l’approccio di Brave e Dazr): aggiungere un piccolo rumore ai segnali, diverso per dominio. Due visite allo stesso sito vedono risultati coerenti (così gli accessi funzionano); due siti diversi vedono impronte diverse. È il compromesso scelto dalla maggior parte dei browser per la privacy di tutti i giorni.
La difesa di Dazr è attiva di default e si applica alle misurazioni di canvas, WebGL, audio e font, con eccezioni per singolo sito nei rari casi in cui un sito non funziona.
Cosa puoi fare davvero
Per ridurre la tua impronta, le opzioni sono limitate:
- Usa un browser con anti-fingerprinting attivo di default (Dazr, Tor Browser, Brave con Shields rigorosi)
- Disattiva Battery API, plugin e funzioni del browser non necessarie nelle impostazioni avanzate
- Non installare font che non ti servono
- Sappi che anche disattivando JavaScript il fingerprinting passivo (header HTTP, IP, dimensioni dello schermo via CSS) resta possibile