Vilka signaler används för fingeravtryck?
De klassiska, i ordning efter hur utmärkande de är:
- Canvas-fingeravtryck: en webbplats ber webbläsaren rita en liten bild och läser sedan tillbaka pixlarna. Små skillnader i grafikdrivrutiner, GPU-modell och operativsystem återger bilden lite olika, så olika att resultatet nästan är unikt för varje enhet.
- WebGL-fingeravtryck: liknar canvas men använder API:er för 3D-grafik. Avslöjar ganska direkt din GPU-modell och drivrutinsversion.
- Ljudfingeravtryck: webbläsarens ljudbehandling har små numeriska skillnader mellan system. En webbplats kan spela upp ett ljud genom API:t (utan att du hör det) och läsa den resulterande vågformen.
- Uppräkning av typsnitt: vilka typsnitt du har installerat är en förvånansvärt utmärkande signal. En typisk dator har 50-200 typsnitt; den exakta listan upprepas sällan.
- Skärmstorlek och pixeltäthet
- User-Agent-sträng och Client Hints (din webbläsare, version, operativsystem)
- Tidszon, språk, antal processorkärnor, tillgängligt minne, batteri-API i vissa webbläsare
Var för sig är de svaga. Tillsammans når de en unikhet i storleksordningen 1 på miljoner.
Varför det fungerar även när du blockerar kakor
Tredjepartskakor håller på att försvinna från alla stora webbläsare. Fingeravtrycksteknik är det alternativ som annonsbranschen redan har svängt över till. Signalerna den använder är inte "spårningsdata" som du kan vägra att lämna; det är data som webbläsaren måste skicka för att sidan ska visas korrekt. Din skärmstorlek spelar roll eftersom sidor måste anpassas efter den. Dina typsnitt spelar roll eftersom sidan väljer det bästa att använda. Att kombinationen är unik är en bieffekt av att data över huvud taget måste skickas.
Så slår webbläsare tillbaka
Två strategier, båda ofullkomliga:
- Enhetlighet (Tors angreppssätt): få alla Tor-användare att se likadana ut. Samma fingeravtryck, samma skärmstorlek, samma typsnitt. Nackdelen är att webben går sönder för dig på många små sätt: sidor visas i "fel" storlek, typsnitt ersätts, webbappar känner igen din enhet fel.
- Slumpmässighet (Braves och Dazrs angreppssätt): lägg till lite brus per domän i signalerna. Två besök på samma webbplats ser konsekventa resultat (så att inloggningar fungerar); två olika webbplatser ser olika fingeravtryck. Det är den avvägning som de flesta integritetswebbläsare för vardagsbruk gör.
Dazrs skydd är aktiverat som standard och gäller för mätningar av canvas, WebGL, ljud och typsnitt, med undantag per webbplats för de sällsynta webbplatser som går sönder under det.
Vad du faktiskt kan göra åt det
Möjligheterna att minska ditt fingeravtryck är begränsade:
- Använd en webbläsare med skydd mot fingeravtrycksteknik aktiverat som standard (Dazr, Tor Browser, Brave med strikta Shields)
- Stäng av Battery API, insticksprogram och onödiga webbläsarfunktioner i de avancerade inställningarna
- Installera inte typsnitt som du inte behöver
- Var medveten om att även om du stänger av JavaScript är passiv fingeravtrycksteknik (HTTP-huvuden, IP, skärmstorlek via CSS) fortfarande intakt