Fingerprinting przeglądarki: niewidzialne śledzenie

Czym jest fingerprinting przeglądarki?

Gdy odwiedzasz stronę, przeglądarka automatycznie przekazuje mnóstwo informacji technicznych o Twoim urządzeniu i jego konfiguracji. Pojedynczo te szczegóły wydają się niewinne. Razem tworzą odcisk palca (fingerprint) — profil tak specyficzny, że pozwala rozpoznać Cię na różnych stronach bez plików cookie, adresu IP czy jakiejkolwiek pamięci lokalnej.

Fingerprinting przeglądarki to technika śledzenia, która zbiera te dane konfiguracyjne i przekształca je w unikalny identyfikator. W przeciwieństwie do plików cookie fingerprinting:

• Niczego nie zapisuje na urządzeniu
• Nie da się go usunąć ani zablokować przez czyszczenie ciasteczek czy historii
• Działa nawet w trybie prywatnym/incognito
• Utrzymuje się między różnymi przeglądarkami na tym samym komputerze
• Jest całkowicie niewidoczny dla użytkownika

Badania pokazują, że odciski przeglądarek są unikalne dla ponad 80% użytkowników, a w połączeniu z innymi sygnałami unikalność zbliża się do 99%.

Jakie dane są zbierane

Skrypty fingerprintingowe odpytują dziesiątki właściwości przeglądarki i urządzenia:

Podstawowe właściwości przeglądarki

• Ciąg User-Agent: nazwa i wersja przeglądarki, system operacyjny, typ urządzenia
• Nagłówki Accept: jakie typy treści, języki i kodowania akceptuje przeglądarka
• Zainstalowane wtyczki i typy MIME (mniej istotne w nowoczesnych przeglądarkach, ale historycznie charakterystyczne)
• Status Do Not Track (paradoksalnie włączenie DNT może Cię bardziej wyróżniać)
• Rozdzielczość ekranu i głębia kolorów
• Strefa czasowa i ustawienia języka

Fingerprinting przez canvas

Najpotężniejsza technika. JavaScript rysuje niewidoczny tekst lub grafikę na elemencie HTML5 canvas i odczytuje powstałe piksele. Z powodu subtelnych różnic w GPU, bibliotekach renderujących systemu i algorytmach wygładzania te same instrukcje dają nieco inny wynik na różnych komputerach. Dane pikseli są haszowane, tworząc bardzo stabilny identyfikator.

Fingerprinting przez WebGL

Podobny do canvas, ale wykorzystuje WebGL do renderowania grafiki 3D. Model GPU, wersja sterownika i parametry renderera tworzą charakterystyczny odcisk, szczególnie stabilny w czasie.

Fingerprinting przez Audio Context

JavaScript generuje dane audio za pomocą Web Audio API i mierzy, jak przetwarza je stos dźwiękowy przeglądarki. Różnice w bibliotekach audio systemu i sprzęcie dają subtelnie inne wyniki — kolejny hasz, kolejny sygnał.

Wykrywanie czcionek

Mierząc, jak tekst renderuje się w różnych czcionkach, skrypty mogą ustalić, które czcionki są zainstalowane w systemie. Nietypowy zestaw czcionek znacząco zawęża identyfikację urządzenia.

Sygnały sprzętowe i wydajnościowe

• Liczba rdzeni procesora (przez navigator.hardwareConcurrency)
• Pamięć urządzenia (w przybliżeniu, przez navigator.deviceMemory)
• Stan baterii (wycofany z powodów prywatności, ale historycznie używany)
• Dane z czujników na urządzeniach mobilnych (akcelerometr, żyroskop)
• Typ połączenia sieciowego

Kto korzysta z fingerprintingu i dlaczego

Sieci reklamowe używają fingerprintingu, by śledzić użytkowników między stronami w celu kierowania reklam, omijając wymogi zgody na pliki cookie.

Systemy wykrywania oszustw używają go w sposób uprawniony — banki i sklepy internetowe tworzą odciski przeglądarek, by wykrywać przejęcia kont, gdy logowanie następuje z nietypowego urządzenia.

Dostawcy analityki używają go do liczenia unikalnych odwiedzających bez plików cookie.

Brokerzy danych łączą dane z odcisków z innymi źródłami, budując profile behawioralne.

Podwójne zastosowanie tej technologii sprawia, że jest etycznie niejednoznaczna — ta sama technika, której banki używają do walki z oszustwami, służy sieciom reklamowym do obchodzenia zgody użytkowników.

Jak walczyć z fingerprintingiem przeglądarki

Całkowite zapobieganie jest niezwykle trudne — samo przeciwdziałanie może Cię wyróżniać. Celem jest wtopienie się w tłum, a nie wyeliminowanie wszystkich sygnałów.

Używaj przeglądarki Tor

Tor Browser to złoty standard odporności na fingerprinting. Celowo ujednolica dziesiątki sygnałów — wszyscy użytkownicy Tor Browser mają niemal identyczne wyniki canvas, rozmiary ekranu, czcionki i nagłówki. To najskuteczniejsze podejście, ale kosztem wydajności (trasowanie w sieci Tor jest wolniejsze).

Używaj Firefoksa z ustawieniami odpornymi na fingerprinting

Firefox z opcją privacy.resistFingerprinting ustawioną na true (w about:config) stosuje podobne ujednolicenie. W połączeniu z uBlock Origin i rozszerzeniem Firefox Multi-Account Containers to praktyczna opcja na co dzień.

Używaj przeglądarki Brave

Brave ma wbudowaną randomizację odcisku — przy każdym załadowaniu strony nieznacznie losowo zmienia wyniki canvas, WebGL i audio, co uniemożliwia zbudowanie stabilnego profilu między stronami. To najwygodniejsza przeglądarka odporna na fingerprinting do codziennego użytku.

Unikaj nietypowych konfiguracji

Paradoksalnie agresywne ustawienia prywatności z nietypowymi wtyczkami i opcjami mogą sprawić, że będziesz łatwiejszy do rozpoznania. Standardowa konfiguracja przeglądarki z niewielką liczbą zmian lepiej wtapia się w tłum.

Ostrożnie z rozszerzeniami

Każde zainstalowane rozszerzenie może zostać wykryte, co czyni przeglądarkę bardziej unikalną. Ogranicz liczbę rozszerzeń i wybieraj popularne narzędzia prywatności (uBlock Origin ma miliony użytkowników, co rozmywa jego wpływ na odcisk).

Testowanie własnego odcisku

Kilka narzędzi pozwala ocenić unikalność odcisku przeglądarki:

• coveryourtracks.eff.org (od EFF): testuje unikalność odcisku i wyjaśnia ochronę przed śledzeniem
• browserleaks.com: szczegółowe zestawienie każdego sygnału, który ujawnia przeglądarka
• fingerprintjs.com/demo: pokazuje, co potrafi zidentyfikować popularna biblioteka do fingerprintingu

Te narzędzia pomagają zrozumieć obecną ekspozycję i zmierzyć efekt wprowadzanych zmian.