Hvilke signaler brukes til fingeravtrykk?
De klassiske, i rekkefølge etter hvor særpregede de er:
- Canvas-fingeravtrykk: et nettsted ber nettleseren tegne et lite bilde og leser så pikslene tilbake. Små forskjeller i grafikkdrivere, GPU-modell og operativsystem gjør at bildet blir litt annerledes, så forskjellig at resultatet er nesten unikt per enhet.
- WebGL-fingeravtrykk: likt canvas, men med API-er for 3D-grafikk. Avslører GPU-modellen og driverversjonen din ganske direkte.
- Lydfingeravtrykk: lydbehandlingen i nettleseren har små numeriske forskjeller fra system til system. Et nettsted kan spille en lyd gjennom API-et (uten at du hører den) og lese av den resulterende bølgeformen.
- Opplisting av skrifter: hvilke skrifter du har installert, er et overraskende særpreget signal. En typisk datamaskin har 50–200 skrifter; den nøyaktige listen gjentar seg sjelden.
- Skjermstørrelse og pikseltetthet
- User-Agent-streng og Client Hints (nettleser, versjon, operativsystem)
- Tidssone, språk, antall prosessorkjerner, tilgjengelig minne, batteri-API i noen nettlesere
Hvert av disse er svakt alene. Kombinert når de en unikhet i størrelsesorden 1 av millioner.
Hvorfor det virker selv når du blokkerer informasjonskapsler
Informasjonskapsler fra tredjeparter er i ferd med å forsvinne fra alle store nettlesere. Fingeravtrykk er alternativet annonsebransjen allerede har gått over til. Signalene det bruker, er ikke «sporingsdata» du kan nekte å gi, de er data nettleseren må sende for at siden skal vises riktig. Skjermstørrelsen din betyr noe fordi sider må tilpasses den. Skriftene dine betyr noe fordi siden velger den beste å bruke. At kombinasjonen er unik, er en bivirkning av at dataene i det hele tatt må sendes.
Slik slår nettleserne tilbake
To strategier, begge ufullkomne:
- Ensartethet (Tors tilnærming): få alle Tor-brukere til å se like ut. Samme fingeravtrykk, samme skjermstørrelse, samme skrifter. Ulempen er at nettet slutter å virke for deg på mange små måter: sider vises i «feil» størrelse, skrifter erstattes, nettapper feiltolker enheten din.
- Tilfeldiggjøring (tilnærmingen til Brave og Dazr): legg til litt støy per domene i signalene. To besøk på samme nettsted ser konsistente resultater (så innlogging virker); to forskjellige nettsteder ser ulike fingeravtrykk. Dette er avveiningen de fleste personvernnettlesere for daglig bruk gjør.
Beskyttelsen i Dazr er på som standard og gjelder målinger av canvas, WebGL, lyd og skrifter, med overstyring per nettsted for de sjeldne nettstedene som slutter å virke med den.
Hva du faktisk kan gjøre med det
For å redusere fingeravtrykket ditt er valgene begrenset:
- Bruk en nettleser med beskyttelse mot fingeravtrykk på som standard (Dazr, Tor Browser, Brave med strenge Shields)
- Slå av batteri-API, programtillegg og unødvendige nettleserfunksjoner i de avanserte innstillingene
- Ikke installer skrifter du ikke trenger
- Vær klar over at selv om du slår av JavaScript, er passivt fingeravtrykk (HTTP-hoder, IP, skjermstørrelse fra CSS) fortsatt mulig