Czym jest fingerprint przeglądarki? Jak rozpoznają cię bez logowania

Strona potrafi cię rozpoznać często bez logowania i bez instalowania czegokolwiek na twoim komputerze. Za każdym razem, gdy otwierasz stronę, przeglądarka sama oddaje zestaw informacji.

Ten zestaw jest na tyle stabilny, że przetrwa wyczyszczenie historii. Nieznana witryna i tak rozpoznaje, że to to samo urządzenie. To właśnie fingerprint przeglądarki.

MostMate to przeglądarka antydetekcyjna przeznaczona do pracy na wielu kontach. Zajmuje się dokładnie drugą stroną tego zagadnienia: daniem każdemu kontu własnej, niezależnej i spójnej ze sobą tożsamości przeglądarki na tym samym komputerze.

Dalej idziemy przez cztery pytania. Z czego składa się odcisk, skąd strona go bierze, czy wyłączenie skryptów pomaga i jak samemu to sprawdzić.

Żaden element nie jest rzadki sam w sobie; rozpoznanie bierze się z kombinacji

Patrząc na każdy element osobno, wszystkie są zbyt pospolite, by kogoś zidentyfikować. Ekrany 1366×768 są wszędzie, ciągi identyfikacyjne Chrome są powszechne, a w strefie UTC+8 mieszka kilkaset milionów ludzi.

Naprawdę decyduje przecięcie. Rozmiar ekranu to jedno sito, system operacyjny drugie, model karty graficznej trzecie, a lista czcionek, strefa czasowa i preferencje językowe dokładają po jednym od siebie. Z każdą nałożoną warstwą zostaje mniej osób. Przy siedmiu–ośmiu warstwach zwykle zostaje jedna.

EFF przeprowadził w 2010 roku otwarty eksperyment i zebrał około 470 tysięcy próbek informacji o przeglądarkach. Z tego 83,6% było już unikalnych przy tym zestawie sit.

Badacze przeliczyli wynik na ilość informacji: każda przeglądarka niosła co najmniej 18,1 bita zdolności identyfikacyjnej. Losowy wybór jednej dawał szansę trafienia na bliźniaka mniej więcej jedną na 280 tysięcy. Pełne wnioski są w publicznym raporcie EFF. Te liczby są od tamtej pory cytowane bez przerwy i równie często opacznie rozumiane.

Tę liczbę łatwo odczytać jako „wszyscy jesteśmy nadzy w sieci”. Warto jednak potraktować ją raczej jako ostrzeżenie: siła odcisku nie bierze się z tego, jak rzadki jest pojedynczy element, lecz z tego, ile elementów pasuje do siebie jednocześnie. Wyjątkowo rzadka wartość sprawia wręcz, że dane urządzenie wyróżnia się statystycznie.

Jest coś jeszcze ważniejszego niż liczba elementów: stabilność. Odcisk jest przydatny, bo jutro i za miesiąc nadal jest na swoim miejscu. Przeglądarka, która przy każdym starcie zmienia zestaw parametrów, to jakby codziennie oddawać nowy zestaw tropów do rozróżnienia.

Trzy badania, trzy liczby: różnica tkwi w sposobie doboru próby

Zapamiętanie jednej liczby prowadzi do błędnych wniosków. Takie badania prowadzono więcej niż raz, a w różnych warunkach wyniki mocno się rozjeżdżają.

Dwa pierwsze wiersze pochodzą z witryn służących do testowania. Kto zadaje sobie trud, by się zmierzyć, ten zwykle bardziej dba o prywatność, a jego sprzęt i konfiguracja są bardziej jednorodne niż u przeciętnego internauty.

Trzeci wiersz zmienia scenariusz. Skrypt zbierający zawisł na francuskich serwisach informacyjnych z pierwszej piętnastki pod względem ruchu i zbierał naturalnych czytelników dwóch stron: pogody i newsów politycznych. Użyto tych samych kilkunastu atrybutów.

Te same atrybuty, inna grupa: unikalność spada z 90% do jednej trzeciej.

Czyli unikalność nie jest stałą właściwością urządzenia. Zależy od tego, czy trzy rzeczy zachodzą jednocześnie: ile elementów się zbiera, od kogo się zbiera i jaką metodą. W 2021 roku badacze rozszerzyli atrybuty z kilkunastu do ponad dwustu i zmierzyli ponownie. Odsetek unikalności wrócił do 81%. Im więcej elementów, tym bardziej ludzie się rozdzielają.

Tamto badanie na francuskich serwisach przyniosło jeszcze jedno, bardziej praktyczne odkrycie. Nieunikalne odciski opisywano jako „kruche”.

Maszyna, która wcześniej pokrywała się z dziesiątkami tysięcy osób, może wskutek drobnej zmiany konfiguracji trafić do kategorii jedynych w swoim rodzaju. Aktualizacja przeglądarki, dołożenie rozszerzenia albo jednorazowa zmiana rozdzielczości też się liczą. „Trafiłem na kogoś takiego samego” nie jest dowodem bezpieczeństwa, oznacza tylko, że jeszcze nikt cię nie oddzielił.

Odcisk ma trzy wejścia i tylko jedno zależy od skryptów

Aby odpowiedzieć na pytanie „co strona może zobaczyć”, trzeba spojrzeć na trzy warstwy. Z tych trzech tylko najniższa zależy od skryptów; pozostałe dwie zakończyły się jeszcze przed uruchomieniem skryptu. Oficjalna strona, tłumacząc izolację, również dzieli to na te trzy warstwy: urządzenie, przeglądarkę i sieć.

Warstwa połączenia: adres zostaje zapisany, zanim żądanie wyruszy

Przed otwarciem strony przeglądarka musi uścisnąć dłoń z serwerem, a dopiero potem wysłać żądanie. W tym procesie serwer zdążył już pozyskać twój adres wyjściowy i zestaw negocjowanych parametrów.

Negocjowane parametry obejmują metody szyfrowania obsługiwane przez obie strony, rozszerzenia i kolejność preferencji. Co się zgłasza i w jakiej kolejności, zależy od wersji przeglądarki i środowiska działania. To wartości niezwiązane z treścią strony, które nie wymagają twojej zgody: są produktem ubocznym samej komunikacji.

Adres plus ten zestaw parametrów pozwalają już na pierwsze, zgrubne przesianie. Do jakiego operatora należy łącze i na którą wersję lub przeglądarkę wygląda druga strona, zwykle da się w przybliżeniu odczytać.

Warstwa nagłówków: przeglądarka za każdym razem zgłasza kilka pozycji

Nagłówki to objaśnienia, które przeglądarka dołącza do żądania. Kilka pojawia się prawie zawsze, na przykład jakie języki akceptuje, jakie kompresje obsługuje, swój ciąg identyfikacyjny i z której strony przyszedłeś.

Pozycję języka określa system i ustawienia przeglądarki, a jest ona bardziej szczegółowa, niż sądzi większość. W obrębie chińskiego wyróżnia się jeszcze uproszczony, tradycyjny i region. Ich cechą jest to, że są ciche, stabilne i wysyłane za każdym razem, niezależnie od tego, jaką witrynę odwiedzasz i czy czyścisz historię.

Warstwa strony: skrypt czyta więcej, niż myślisz

Po załadowaniu strony skrypt może pytać dalej. Rozmiar ekranu i okna, przesunięcie strefy czasowej, liczba rdzeni procesora i przedział pamięci są w zasięgu odczytu. Te interfejsy są w przeglądarce publiczne, a dokumentacja interfejsów przeglądarki wymienia je bardzo jasno, więc każda witryna może je wywołać bezpośrednio.

Na pytanie „czym jest fingerprint przeglądarki” większości najpierw przychodzi do głowy canvas i czcionki. Te dwie pozycje są rzeczywiście wskazywane najczęściej, a powód nie tkwi w tym, jakie są egzotyczne, lecz w tym, jak trudno je zmienić.

Canvas i czcionki: dwie najczęściej wskazywane pozycje

Metoda canvasu jest bardzo prosta. Strona rysuje kształt albo linijkę tekstu w miejscu, którego nie widzisz, a potem odczytuje gotowy obraz piksel po pikselu.

Ta sama instrukcja, rysowana na różnych kartach graficznych, sterownikach i systemach, nie daje identycznych pikseli. Różnica jest zbyt mała, by dostrzec ją okiem, ale wystarczająco stabilna. Nawet gdy zmienisz tapetę albo skalowanie, ona nadal jest na swoim miejscu.

Lista czcionek działa inaczej. Strona nie pyta, jakie masz czcionki, tylko po kolei próbuje nazw popularnych krojów. Jeśli przy renderowaniu tekstu w danym rozmiarze zmierzona szerokość nie zgadza się z oczekiwaną, tej czcionki nie ma na twojej maszynie. Im więcej nazw próbuje, tym dłuższy uzyskuje zapis.

Czcionki, które weszły przy okazji instalowania programów graficznych, też się tu liczą. Dlatego odcisk czcionek często mówi więcej niż rozmiar ekranu: zapisuje, jakie programy zainstalowałeś i do czego używasz tego komputera.

Różnice renderowania: klasa ukryta w pikselach

Canvas to tylko jedno wyjście różnic renderowania. Ścieżka przetwarzania dźwięku, interfejsy graficzne i kodeki wideo zostawiają każdy swoje drobne różnice powiązane ze sprzętem, a na tej samej maszynie zazębiają się wzajemnie w sposób trudny do odtworzenia na innej.

Ta klasa wartości ma jedną wspólną cechę: decyduje o niej sprzęt i sterownik, więc nie da się jej zmienić. Grzebanie w ustawieniach przeglądarki, czyszczenie pamięci podręcznej czy zmiana łącza ich nie sięgają.

Ważniejsza niż liczba elementów jest stabilność. Te wartości są tak stabilne, że mogą długo służyć jako identyfikator urządzenia, i właśnie dlatego uczynienie jednego czy dwóch parametrów rzadszymi zwykle niczego nie rozwiązuje.

Czy wyłączenie JavaScriptu rozwiązuje problem

Po wyłączeniu skryptów trzecie wejście rzeczywiście zostaje zamknięte. Strona nie odczyta listy czcionek ani nie pozyska wyniku renderowania.

Ale dwie pierwsze warstwy działają jak wcześniej. Nagłówków nie brakuje ani jednego, adres wyjściowy nadal jest zapisany, a negocjowane parametry warstwy połączenia też są na miejscu. Wyłączenie skryptów odejmuje jedną warstwę, a nie wszystkie.

W eksperymencie z 2010 roku przeglądarki z wyłączonymi skryptami wydzielono osobno jako próbkę „stosunkowo trudną do odciskania”. Wtedy to działanie rzeczywiście działało.

Ale „stosunkowo trudny” i „pozostaje ukryty” to dwie różne rzeczy. Skoro wszyscy wokół mają włączone skrypty, a ty należysz do tej garstki, która je wyłącza, sam ten fakt jest cechą. Rzadki stan nie sprawia, że znikasz, tylko że łatwiej cię wyłowić.

Prawdziwy problem nie leży tutaj. Kłopot, jaki sprawia odcisk, to przede wszystkim łączenie ze sobą tego samego zestawu tożsamości, a nie to, czy pojedynczy parametr jest dość ukryty. To wyjaśnia też, dlaczego czynienie parametrów bardziej ozdobnymi czy rzadszymi zwykle nie pomaga.

Gdy na tym samym komputerze zmieniasz przeglądarkę, które pozycje idą za tobą

Wiele osób sądzi, że kilka zainstalowanych przeglądarek to kilka tożsamości, a rzeczywista zmiana jest mniejsza, niż się wydaje. Ze względu na zachowanie po zmianie przeglądarki te pozycje dzielą się na dwie grupy:

• Zmieniają się razem z nią: ciąg identyfikacyjny przeglądarki, wynik renderowania interfejsów graficznych i canvasu, lista rozszerzeń oraz pamięć lokalna ze stanem logowania.
• Nie zmieniają się: model karty graficznej i sterownika, fizyczne parametry ekranu, liczba rdzeni procesora, przedział pamięci, strefa czasowa systemu i czcionki na poziomie systemu.

Pierwsza grupa pochodzi od samej przeglądarki i porządkuje się na nowo przy reinstalacji, aktualizacji czy dołożeniu rozszerzeń. Druga pochodzi od sprzętu i systemu i niezależnie od tego, ile przeglądarek zmienisz, to nadal te same wartości. Właśnie one są nicią łączącą kilka maszyn, które „wyglądają różnie”.

Trzy przeglądarki otwarte na jednym komputerze wyglądają w oczach witryny bardziej jak trzy sposoby użycia tego samego urządzenia. Nie jak trzy urządzenia.

Autotest w trzech krokach: jak wykorzystać to kryterium w prowadzeniu wielu kont

Publiczne strony testowe działają bez rejestracji. Zamiast opierać się na cudzych wnioskach, warto zobaczyć, co zgłasza twoja własna maszyna. Przenosząc to na scenariusz wielu kont, to, co trzeba ustalić przed wynikami testu, to kolejność; kolejność od zera do pierwszego środowiska układa już proxy, formularze i listę kontrolną w odpowiedniej sekwencji.

Kolejność testu można ustalić tak:

1. Najpierw zobacz, z których pozycji bierze się unikalność. Po zakończeniu nie patrz na wynik ogólny, tylko na wskazane „najbardziej unikalne pozycje”, bo to zwykle ta część ciebie, którą najtrudniej zmienić.
2. Potem przetestuj po kolei dwie przeglądarki z tego samego komputera i zaznacz pozycje identyczne w obu pomiarach. Te pokrywające się należą do warstwy sprzętu i systemu i nie odczepią się nawet po zmianie przeglądarki.
3. Na koniec powtórz test z wyłączonymi skryptami i sprawdź, które wartości nadal da się odczytać. To, co zostanie, to część dostępna bez skryptów.

Po tych trzech krokach zwykle dochodzi się do tego samego wniosku. Pozycji naprawdę trudnych do zmiany jest niewiele, ale to właśnie one utrzymują twoją tożsamość.

Idąc dalej tym wnioskiem, podejście do wielu kont nietrudno wywnioskować. Trzeba sprawić, by środowisko każdego konta było spójne we własnym zestawie; parametry nie muszą być dziwniejsze.

MostMate umieszcza tę kwestię na etapie tworzenia środowiska. Język, język interfejsu, strefa czasowa i lokalizacja geograficzna domyślnie idą za wyjściem. Pozycje sprzętowe, takie jak ekran, liczba rdzeni i pamięć, mają tylko dwa poziomy, rzeczywisty i losowy; aby odejść od wartości domyślnej, trzeba raz wybrać ręcznie. Ten zestaw wartości i porównanie z ręczną konfiguracją pozycja po pozycji można obejrzeć obok siebie na oficjalnej stronie.

Dlaczego podjęto takie wybory i co blokuje każda z czterech zasad projektowych opisano dokładniej w tamtym artykule. Znajdziesz tam, która zasada odpowiada jakiemu rodzajowi awarii i którą zachować w pierwszej kolejności, gdy cztery wchodzą sobie w drogę.

Jeśli chcesz zacząć od razu, możesz też pobrać MostMate i po instalacji powtórzyć powyższe trzy kroki na własnym środowisku.

Jeśli najpierw chcesz zobaczyć, jak MostMate zbiera te wartości w jeden system zarządzania środowiskami, zacznij od opisu produktu.

Częste pytania

Czy odcisk zmieni się po usunięciu plików cookie albo w trybie incognito?

Nie. Pliki cookie i pamięć lokalna to karteczki, które przeglądarka zostawia dla witryny, a po usunięciu ich nie ma. Odcisk działa inaczej: to wartość odczytywana na bieżąco z urządzenia i przeglądarki, nie jest przechowywana na twojej maszynie. Tryb incognito ogranicza to, co zostaje lokalnie, a nie zmienia tego, co przeglądarka zgłasza na zewnątrz.

Czy zmiana adresu IP oznacza nową tożsamość?

Zmieniasz tylko warstwę sieci. Preferencje językowe, czcionki, karta graficzna i strefa czasowa systemu nie zmienią się z powodu IP. A jeśli region nowego łącza nie zgadza się z twoją strefą czasową i językiem, powstaje kombinacja, która nie ma sensu.

Czy wtyczka antydetekcyjna coś daje?

Typowe podejście to dodanie szumu do części pozycji albo ujednolicenie ich do jednego popularnego zestawu wartości. Ujednolicenie wartości rzeczywiście pozwala zniknąć w tłumie, ale kosztem tego, że ta sama grupa osób dzieli ten sam zestaw cech. Szum z kolei może sprawić, że to samo środowisko poda różne wartości w dwóch pomiarach, a to już jest anomalią. Żadne z tych podejść nie sięga warstwy sprzętu i systemu.

Czy strony naprawdę porównują odciski?

W antifraudzie i kontroli ryzyka to standardowa metoda, szczególnie częsta na etapach logowania, rejestracji i płatności. Większość serwisów traktuje go jednak jako jeden z sygnałów i czyta razem z zachowaniem konta oraz historią urządzenia; rzadko rozstrzyga na podstawie pojedynczej pozycji.

Czy dwa komputery dokładnie tego samego modelu będą miały taki sam odcisk?

Nie będą identyczne. Maszyny tego samego modelu szybko się rozchodzą w wersji systemu, czcionkach, sterownikach, strefie czasowej, języku i zainstalowanych rozszerzeniach, a wszystkie te różnice trafiają do odcisku. Najbliżej siebie są klonowane maszyny instalowane seryjnie, ale to dotyczy bardzo małej części przypadków.

Czy z przeglądarką antydetekcyjną nikt mnie już nie znajdzie?

Nie. Przeglądarka antydetekcyjna zajmuje się granicą między środowiskami, aby każde konto miało niezależną i spójną tożsamość przeglądarki. Nie zmienia sposobu, w jaki platforma ustala, do kogo należy konto, i nie obiecuje żadnego rezultatu. Trzeba też rozdzielić dwie rzeczy: spójność odcisku jest metodą autoweryfikacji, a nie regułą wykrywania stosowaną przez platformy. Traktowanie ich jako jednego prowadzi do nierealnych oczekiwań wobec narzędzia.