O que é fingerprint de navegador? Como você é reconhecido sem fazer login

Um site consegue reconhecer você muitas vezes sem login e sem instalar nada na sua máquina. Cada vez que abre uma página, o navegador entrega por conta própria um conjunto de informações.

Esse conjunto é estável o bastante para sobreviver à limpeza do histórico. Um site desconhecido continua reconhecendo que é o mesmo dispositivo. Isso é o fingerprint de navegador.

MostMate é um navegador antidetect voltado à operação de múltiplas contas. Ele lida justamente com o outro lado disso: dar a cada conta uma identidade de navegador independente e coerente consigo mesma no mesmo computador.

A partir daqui seguimos por quatro perguntas. Do que a impressão digital é feita, por onde um site a obtém, se desativar os scripts resolve e como testar você mesmo.

Nenhum dado é raro sozinho; o reconhecimento nasce da combinação

Olhando um por um, todos os dados são comuns demais para identificar alguém. Telas de 1366×768 estão em toda parte, as strings de identificação do Chrome são abundantes e no fuso UTC+8 moram centenas de milhões de pessoas.

O que realmente decide é a interseção. O tamanho da tela é um filtro, o sistema operacional é outro, o modelo da placa de vídeo é mais um, e a lista de fontes, o fuso horário e as preferências de idioma somam cada um o seu. A cada camada empilhada sobra menos gente. Ao chegar a sete ou oito camadas, muitas vezes resta uma só pessoa.

A EFF fez um experimento aberto em 2010 e coletou cerca de 470 mil amostras de informações de navegadores. Dessas, 83,6% já eram únicas com esse conjunto de filtros.

Os pesquisadores converteram o resultado em quantidade de informação: cada navegador carregava pelo menos 18,1 bits de capacidade de identificação. Escolher um ao acaso dava uma chance de coincidência de uma em cerca de 280 mil. As conclusões completas estão em o relatório público da EFF. Esses números vêm sendo citados sem parar desde então, e também mal interpretados sem parar.

É fácil ler esse número como um «todo mundo está exposto». Vale mais encará-lo como um aviso: a força de uma impressão digital não vem de quão raro é um dado isolado, mas de quantos dados batem ao mesmo tempo. Um valor muito incomum, na verdade, faz esse dispositivo se destacar estatisticamente.

Há algo ainda mais decisivo que a quantidade de dados: a estabilidade. A impressão digital serve porque amanhã e no mês que vem continua no mesmo lugar. Um navegador que troca de parâmetros a cada inicialização equivale a entregar todo dia um conjunto novo de pistas para que te distingam.

Três estudos, três números: a diferença está na forma de amostrar

Ficar com um único número leva a conclusões erradas. Esse tipo de estudo já foi repetido várias vezes e, com condições diferentes, os resultados se afastam muito.

As duas primeiras linhas vêm de sites dedicados ao teste. Quem se dá ao trabalho de medir já se importa mais com privacidade, e seus equipamentos e configurações são mais uniformes que os do internauta comum.

A terceira linha troca de cenário. O script de coleta ficou em sites de notícias franceses entre os quinze mais visitados e capturou visitantes naturais de duas páginas: previsão do tempo e notícias de política. Foram usados os mesmos atributos, ainda umas dezenas.

Mesmos atributos, outra amostra: a unicidade cai de 90% a um terço.

Ou seja, a unicidade não é uma propriedade fixa do dispositivo. Ela depende de três coisas valerem ao mesmo tempo: quantos dados são coletados, de quem são coletados e com que método. Em 2021, os pesquisadores ampliaram os atributos de umas dezenas para mais de duzentos e mediram de novo. A proporção de unicidade voltou a 81%. Quanto mais dados, mais as pessoas se separam.

Aquele estudo nos sites franceses deixou ainda uma descoberta mais prática. As impressões não únicas eram descritas como «frágeis».

Uma máquina que antes coincidia com dezenas de milhares de pessoas pode cair na faixa das únicas só com uma pequena mudança de configuração. Atualizar o navegador, instalar mais uma extensão ou ajustar a resolução uma vez já contam. «Coincidi com outras pessoas» não é prova de segurança, só significa que ainda não te separaram.

A impressão digital tem três entradas e só uma depende de scripts

Para responder «o que um site consegue ver», é preciso olhar em três camadas. Das três, só a de baixo depende de scripts; as outras duas já terminaram antes de o script rodar. Quando o site oficial explica o isolamento, ele também divide o assunto em estas três camadas: dispositivo, navegador e rede.

Camada de conexão: o endereço já foi registrado antes de a requisição sair

Antes de abrir a página, o navegador precisa fazer o handshake com o servidor e então enviar a requisição. Nesse processo o servidor já obteve seu endereço de saída e um conjunto de parâmetros negociados.

Os parâmetros negociados incluem os métodos de criptografia que cada lado aceita, as extensões e a ordem de preferência. O que é anunciado e em que ordem depende da versão do navegador e do ambiente de execução. São valores que não envolvem o conteúdo da página nem pedem seu consentimento: são um subproduto da própria comunicação.

O endereço mais esse conjunto de parâmetros já permitem um primeiro filtro grosso. A qual operadora pertence o link e que versão ou navegador parece o outro lado costuma dar para deduzir em linhas gerais.

Camada de cabeçalhos: o navegador informa vários itens a cada vez

Os cabeçalhos são as observações que o navegador acrescenta à requisição. Alguns aparecem quase sempre, como quais idiomas aceita, quais compressões suporta, sua própria string de identificação e de qual página você veio.

O item de idioma é definido pelo sistema e pelas configurações do navegador, e é mais detalhado do que a maioria imagina. Dentro do chinês, por exemplo, separa-se simplificado, tradicional e região. A característica deles é serem silenciosos, estáveis e enviados sempre, sem mudar conforme o site que você visita nem conforme você limpa o histórico.

Camada de página: o script lê mais do que você imagina

Depois que a página carrega, o script pode continuar perguntando. Tamanho da tela e da janela, deslocamento de fuso, número de núcleos de CPU e faixa de memória estão ao alcance da leitura. Essas interfaces são públicas no navegador e a documentação de interfaces do navegador as lista com toda a clareza, então qualquer site pode chamá-las diretamente.

Ao perguntar «o que é fingerprint de navegador», a primeira coisa que vem à cabeça da maioria é canvas e fontes. Esses dois são mesmo os mais citados, e a razão não é o quanto são exóticos, mas o quanto é difícil mudá-los.

Canvas e fontes: os dois itens mais citados

O método do canvas é bem direto. A página desenha uma forma ou uma linha de texto em um ponto que você não vê e depois lê a imagem de volta pixel a pixel.

A mesma instrução, desenhada em placas de vídeo, drivers e sistemas diferentes, não produz pixels idênticos. A diferença é pequena demais para o olho, mas estável o bastante. Mesmo que você troque o papel de parede ou a escala, ela continua no mesmo lugar.

A lista de fontes segue outro caminho. A página não pergunta quais fontes você tem, mas testa nomes de fontes comuns um por um. Se ao renderizar um texto em certo tamanho a largura medida não bate com a esperada, aquela fonte não está na sua máquina. Quanto mais nomes testa, mais longa é a lista que obtém.

As fontes que entraram de carona ao instalar programas de design também contam aqui. Por isso a impressão de fontes costuma revelar mais que o tamanho da tela: ela registra quais programas você instalou e para que usa esta máquina.

Diferenças de renderização: a classe escondida nos pixels

O canvas é apenas uma saída das diferenças de renderização. A cadeia de processamento de áudio, as interfaces gráficas e os codecs de vídeo deixam cada um pequenas diferenças ligadas ao hardware, e numa mesma máquina elas se encaixam de um jeito difícil de reproduzir em outra.

Essa classe de valores tem um ponto em comum: é definida pelo hardware e pelo driver, e não dá para mudar. Mexer nas configurações do navegador, limpar o cache ou trocar de linha não as alcança.

Mais que a quantidade de dados, o que merece atenção é a estabilidade. Esses valores são estáveis a ponto de servir como identificador de dispositivo por muito tempo, e justamente por isso tornar um ou dois parâmetros mais raros normalmente não resolve nada.

Desativar o JavaScript resolve o problema?

Ao desativar os scripts, a terceira entrada fica de fato fechada. A página não lê a lista de fontes nem obtém o resultado da renderização.

Mas as duas primeiras continuam iguais. Os cabeçalhos não faltam nenhum, o endereço de saída segue registrado e os parâmetros negociados da camada de conexão também continuam lá. Desativar os scripts elimina uma camada, não todas.

No experimento de 2010, os navegadores com scripts desativados foram classificados à parte como amostra «relativamente difícil de rastrear». Na época, essa medida realmente funcionava.

Mas «relativamente difícil» e «ficar oculto» são coisas diferentes. Se todo mundo à sua volta mantém os scripts ligados e você faz parte da minoria que os desliga, esse fato já é um traço em si. Um estado pouco comum não faz você desaparecer, só faz você ser notado mais facilmente.

O problema real não está aqui. O incômodo que a impressão digital gera é principalmente a ligação entre um mesmo conjunto de identidades, não o quanto um parâmetro é ou não discreto. Isso também explica por que deixar os parâmetros mais vistosos ou mais raros normalmente não ajuda.

Trocando de navegador no mesmo computador, quais itens acompanham

Muita gente acha que instalar vários navegadores equivale a ter várias identidades, e a mudança real é menor do que parece. Pelo comportamento depois da troca de navegador, esses itens se dividem em dois grupos:

• Mudam junto: a string de identificação do navegador, o resultado de renderização das interfaces gráficas e do canvas, a lista de extensões e o armazenamento local com o estado de login.
• Não mudam: modelo da placa de vídeo e driver, parâmetros físicos da tela, número de núcleos de CPU, faixa de memória, fuso horário do sistema e fontes em nível de sistema.

O primeiro grupo vem do próprio navegador e se reorganiza a cada reinstalação, atualização ou extensão instalada. O segundo vem do hardware e do sistema, e por mais navegadores que você troque continuam sendo os mesmos valores. São eles a linha que conecta várias máquinas que «parecem diferentes».

Abrir três navegadores no mesmo computador parece mais, aos olhos de um site, três usos do mesmo dispositivo. Não três dispositivos.

Autoteste em três passos: como usar esse critério na gestão de múltiplas contas

Os sites de teste públicos rodam sem cadastro. Em vez de ficar com as conclusões, vale a pena ver o que a sua própria máquina está reportando. Trazendo para o cenário de múltiplas contas, o que convém definir antes dos resultados do teste é a ordem; a ordem do zero ao primeiro ambiente já organiza proxy, formulários e checklist em sequência.

A ordem do teste pode ser definida assim:

1. Veja primeiro de quais itens vem a unicidade. Ao terminar, não olhe a pontuação total; olhe os «itens mais únicos» que ele aponta, que costumam ser a parte mais difícil de mudar em você.
2. Teste depois dois navegadores do mesmo computador, um de cada vez, e marque os itens iguais nas duas medições. Os que coincidem pertencem à camada de hardware e sistema, e não se soltam nem trocando de navegador.
3. Por último, repita o teste com os scripts desativados e veja quais valores ainda dá para ler. O que sobrar é o que se obtém sem precisar de scripts.

Ao fim dos três passos, normalmente se chega à mesma conclusão. Os itens realmente difíceis de mudar são poucos, mas são eles que sustentam a sua identidade.

Seguindo essa conclusão, a abordagem para múltiplas contas não é difícil de deduzir. O que se precisa fazer é manter o ambiente de cada conta coerente dentro do seu próprio conjunto; os parâmetros não precisam ser mais estranhos.

O MostMate coloca essa questão na etapa de criação do ambiente. Idioma, idioma da interface, fuso horário e localização geográfica seguem a saída por padrão. Itens de hardware como tela, núcleos e memória oferecem apenas dois níveis, real e aleatório; para sair do valor padrão é preciso escolher à mão uma vez. Esse conjunto de valores e a comparação com a configuração manual item a item podem ser vistos lado a lado no site oficial.

Por que essa escolha é feita assim, e o que cada um dos quatro princípios de design barra está mais detalhado naquele artigo. Lá se explica qual princípio corresponde a cada tipo de falha e qual preservar primeiro quando os quatro entram em conflito.

Se preferir começar direto, também pode baixar o MostMate e, depois de instalar, repetir os três passos acima no seu próprio ambiente.

Se quiser antes ver como o MostMate reúne esses valores num sistema de gestão de ambientes, comece pela descrição do produto.

Perguntas frequentes

A impressão digital muda se eu apagar os cookies ou usar o modo anônimo?

Não. Os cookies e o armazenamento local são bilhetes que o navegador guarda para o site, e ao apagá-los eles somem. A impressão digital é diferente: é um valor lido na hora do dispositivo e do navegador, e não está guardado na sua máquina. O modo anônimo limita o que fica localmente, não muda o que o navegador informa para fora.

Se eu trocar de IP, já tenho outra identidade?

Você trocou apenas a camada de rede. Preferências de idioma, fontes, placa de vídeo e fuso horário do sistema não mudam por causa do IP. E se a região da nova linha não bate com o seu fuso e o seu idioma, o que se forma é uma combinação sem sentido.

Instalar um plugin antidetect ajuda?

A prática comum é adicionar ruído a alguns itens ou unificá-los num conjunto de valores majoritários. Unificar os valores realmente faz você se misturar à multidão, ao custo de esse mesmo grupo compartilhar os mesmos traços. Já o ruído pode fazer um mesmo ambiente reportar valores diferentes em duas ocasiões, e isso já é uma anomalia. Nenhuma das duas abordagens toca a camada de hardware e sistema.

Os sites realmente comparam impressões digitais?

Em antifraude e controle de risco é um método comum, e aparece especialmente em etapas como login, cadastro e pagamento. Ainda assim, a maioria dos sites trata isso como um sinal entre outros e lê junto com o comportamento da conta e o histórico do dispositivo; raramente decide com base em um único item.

Dois computadores exatamente do mesmo modelo terão a mesma impressão digital?

Não serão idênticos. Máquinas do mesmo modelo logo divergem em versão do sistema, fontes, drivers, fuso horário, idioma e extensões instaladas, e todas essas diferenças caem na impressão digital. As máquinas clonadas instaladas em série são as mais parecidas, mas isso cobre só uma parte bem pequena dos casos.

Com um navegador antidetect, ninguém mais me encontra?

Não. O navegador antidetect trabalha na fronteira entre ambientes, para que cada conta tenha uma identidade de navegador independente e coerente. Ele não muda como a plataforma determina a quem pertence uma conta nem promete nenhum resultado. Vale ainda separar uma coisa: a coerência da impressão digital é um método de autoverificação, não uma regra de detecção das plataformas. Tratar as duas como a mesma coisa leva a expectativas irreais sobre a ferramenta.