Tarayıcı parmak izi nedir? Tek başına hiçbir parametre özel değil, birleşince sizi tanıyor

Siteler sizi çoğu zaman ne oturum açmanıza ihtiyaç duyarak ne de makinenize bir şey yükleyerek tanır. Tarayıcı her sayfa açılışında kendiliğinden bir dizi bilgi verir.

Bu bilgiler bir araya geldiğinde yeterince kararlıdır ve tarayıcı geçmişinizi temizleseniz bile ayakta kalır. Yabancı bir site yine de bunun aynı cihaz olduğunu anlar. İşte buna tarayıcı parmak izi denir.

MostMate çok hesaplı çalışma için geliştirilmiş bir anti-detect tarayıcıdır. Ele aldığı şey bu işin diğer yüzü: aynı bilgisayarda her hesaba ayrı ve kendi içinde tutarlı bir tarayıcı kimliği vermek.

Aşağıda dört soru üzerinden ilerleyeceğiz. Parmak izi nelerden oluşur, site bunu hangi kapılardan alır, betikleri kapatmak yeterli olur mu ve kendinizi nasıl test edebilirsiniz.

Tek tek hiçbiri sıra dışı değil, birleşince tanınıyorsunuz

Her parametreye tek başına bakıldığında o kadar sıradandır ki kimseyi tanımaya yetmez. 1366×768 ekran her yerde var, Chrome'un tanıtım dizesine rastlamak çok kolay, UTC+8 diliminde yüz milyonlarca insan yaşıyor.

Asıl işleyen şey kesişim. Ekran boyutu bir süzgeç, işletim sistemi bir süzgeç, ekran kartı modeli bir süzgeç; yazı tipi listesi, saat dilimi ve dil tercihleri de birer tane. Her kat eklendiğinde geriye daha az kişi kalır. Yedi-sekiz kat biriktiğinde çoğu zaman tek kişi kalır.

EFF 2010 yılında açık bir deney yapıp yaklaşık 470 bin tarayıcı bilgisi topladı. Bunların %83,6'sı bu süzgeç dizisinde zaten tek başına kalmıştı.

Araştırmacılar sonucu bilgi miktarına çevirdi: ortalama her tarayıcı en az 18,1 bit ayırt edilebilirlik taşıyor. Rastgele birini seçseniz, eşleşme ancak yaklaşık 280 bin makinede bir çıkar. Deneyin tam sonuçları EFF'in açık raporunda yazıyor. Bu sayılar sonradan defalarca alıntılandı ve defalarca yanlış okundu.

Bu sayı kolayca «herkes çırılçıplak» diye okunuyor. Oysa daha çok bir hatırlatma olarak değerli: parmak izinin gücü tek bir parametrenin ne kadar nadir olduğundan değil, kaç parametrenin aynı anda örtüştüğünden gelir. Özellikle nadir bir değer, aksine, o cihazı istatistiksel olarak göze batar hale getirir.

Parametre sayısından daha da önemli bir şey var: kararlılık. Parmak izi işe yarıyor çünkü yarın da, gelecek ay da yerinde duruyor. Her açılışta farklı bir parametre seti sunan tarayıcı, her gün kendiliğinden yeni bir ayırt edici ipucu vermiş olur.

Üç araştırma üç farklı sayı veriyor, fark örnekleme biçiminde

Tek bir sayıyı aklında tutmak yanlış sonuca varmanın kolay yoludur. Benzer araştırmalar bir kez yapılmadı; koşullar değişince sonuçlar çok ayrışıyor.

İlk iki satırdaki veriler özel olarak test için kurulmuş sitelerden geliyor. Kendi isteğiyle test yaptıran kişiler gizliliğe zaten daha düşkündür ve cihazlarıyla ayarları ortalama kullanıcıya göre daha düzenlidir.

Üçüncü satır bambaşka bir senaryo. Toplama betiği, ziyaret sıralamasında ilk on beşe giren Fransız haber sitelerine yerleştirildi ve iki sayfanın normal ziyaretçilerini topladı: hava durumu ve siyaset haberleri. Kullanılan özellikler yine aynı on küsur tanesiydi.

Aynı özellikler, farklı örneklem: benzersizlik %90'dan üçte bire indi.

Yani benzersizlik cihazın doğuştan gelen bir özelliği değil. Üç şeyin aynı anda gerçekleşip gerçekleşmemesine bağlı: kaç parametre toplandı, kimden toplandı ve hangi yöntemle toplandı. 2021'de araştırmacılar özellik sayısını on küsurdan iki yüzün üzerine çıkarıp yeniden ölçtü. Benzersizlik oranı yeniden %81'e çıktı. Parametre sayısı arttıkça insanlar birbirinden ayrılıyor.

Fransa'daki araştırmada daha işe yarar bir bulgu da vardı. Benzersiz olmayan parmak izleri «kırılgan» diye tanımlanıyor.

On binlerce makineyle örtüşen bir cihaz, küçük bir ayar değişikliğiyle tek başına kalanlar sınıfına düşebilir. Tarayıcı güncellemesi, bir eklenti daha kurmak, çözünürlüğü bir kez değiştirmek: hepsi sayılır. «Birileriyle çakıştım» bir güvenlik kanıtı değil, yalnızca henüz ayrıştırılmadığınızın göstergesidir.

Parmak izinin üç kapısı var, yalnızca biri betiğe bağlı

«Site tam olarak ne görüyor» sorusuna üç katman halinde bakmak gerekir. Bu üç katmandan yalnızca en alttaki betiğe bağlıdır; diğer ikisi betik çalışmadan önce tamamlanmış olur. Resmî sitede ortam izolasyonu da bu üç katman: cihaz, tarayıcı ve ağ üzerinden anlatılıyor.

Bağlantı katmanı: istek gitmeden adres kaydedilmiş oluyor

Sayfayı açmadan önce tarayıcı sunucuyla bir kez el sıkışır, sonra isteği gönderir. Bu sırada sunucu çıkış adresinizi ve bir dizi anlaşma parametresini çoktan almıştır.

Anlaşma parametreleri iki tarafın desteklediği şifreleme yöntemlerini, uzantıları ve tercih sırasını kapsar. Neyin bildirileceği ve hangi sırayla bildirileceği tarayıcı sürümü ile çalıştığı ortam tarafından belirlenir. Bu değerler sayfa içeriğiyle ilgili değildir ve onayınızı gerektirmez; iletişimin kendi yan ürünüdür.

Adres ve bu parametre kümesi kaba bir ön eleme için yeterlidir. Hattın hangi operatöre ait olduğu, karşı tarafın hangi sürüme ve hangi tarayıcıya benzediği çoğu durumda kabaca görülür.

İstek başlıkları katmanı: tarayıcı her seferinde kendini bildiriyor

İstek başlıkları tarayıcının isteğe eklediği açıklamalardır. Birkaçı neredeyse her seferinde bulunur: hangi dillerin kabul edildiği, hangi sıkıştırma yöntemlerinin desteklendiği, tarayıcının kendi tanıtım dizesi ve geçişin hangi sayfadan geldiği.

Dil maddesini sistem ve tarayıcı ayarları belirler ve çoğu kişinin sandığından daha ayrıntılı yazılır. Tek bir dilin içinde bile yazı biçimi ve bölge ayrılır. Ortak özellikleri sessiz, kararlı ve her seferinde veriliyor olmalarıdır: hangi siteye girdiğinize göre de, geçmişi temizlemenize göre de değişmezler.

Sayfa katmanı: betik sandığınızdan fazlasını okuyor

Sayfa yüklendikten sonra betik sormaya devam edebilir. Ekran ve pencere boyutu, saat dilimi sapması, CPU çekirdek sayısı, bellek kademesi: hepsi okunabilir aralıkta. Bu arayüzler tarayıcıda açıktır, tarayıcı arayüz belgeleri bunları ayrıntılı biçimde listeler ve her site doğrudan çağırabilir.

«Tarayıcı parmak izi nedir» diye sorulduğunda çoğu kişinin aklına önce canvas ve yazı tipleri gelir. Bu ikisi gerçekten en çok anılanlardır; nedeni nadir olmaları değil, değiştirilmelerinin en zor olmasıdır.

Canvas ve yazı tipleri: en çok anılan iki başlık

Canvas'ın yöntemi çok açık. Sayfa, sizin göremediğiniz bir yerde bir şekil ya da bir satır yazı çizer, sonra çizilmiş görüntüyü piksel piksel geri okur.

Aynı komut dizisi farklı ekran kartlarında, farklı sürücülerde ve farklı sistemlerde tamamen aynı pikselleri üretmez. Fark gözle görülemeyecek kadar küçüktür ama yeterince kararlıdır. Duvar kâğıdını değiştirin, ölçeği bir kez oynatın, yine yerinde durur.

Yazı tipi listesi başka bir yol izler. Sayfa hangi yazı tiplerinin kurulu olduğunu sormaz; yaygın yazı tiplerinin adlarını tek tek dener. Belirli bir puntoda çizilen metnin ölçülen genişliği beklenenle uyuşmuyorsa o yazı tipi makinenizde yok demektir. Denenen ad sayısı arttıkça elde edilen kayıt uzar.

Tasarım programıyla birlikte kenardan gelen yazı tipleri de burada sayılır. Bu yüzden yazı tipi parmak izi çoğu zaman ekran boyutundan daha çok şey anlatır: hangi programları kurduğunuzu ve bu makineyi genelde ne için kullandığınızı kaydeder.

Render farkları: piksellerin içinde saklanan tür

Canvas render farklarının yalnızca bir çıkışıdır. Ses işleme zinciri, grafik arayüzleri ve video kodlama da donanıma bağlı ince farklar bırakır; aynı makinede birbirleriyle kenetlenirler ve başka bir makinede yeniden üretilmeleri çok zordur.

Bu tür değerlerin ortak bir yanı var: donanım ve sürücüler belirler, değiştirilemezler. Tarayıcı ayarlarını kurcalamak, önbelleği temizlemek, hattı değiştirmek: hiçbiri onlara dokunamaz.

Sayıdan çok kararlılığa dikkat etmek gerekir. Bu değerler o kadar kararlıdır ki cihaz kimliği olarak uzun süre kullanılabilirler; işte bu kararlılık yüzünden bir iki parametreyi daha nadir hale getirmek genelde sorunu çözmez.

JavaScript'i kapatınca sorun çözülüyor mu

Betikleri kapatınca üçüncü kapı gerçekten kapanır. Sayfa yazı tipi listesini okuyamaz ve render sonucunu alamaz.

Ama ilk iki katman aynen durur. İstek başlıkları eksiksiz yerindedir, çıkış adresi yine kaydedilir, bağlantı katmanının anlaşma parametreleri de yine oradadır. Betiği kapatmak katmanlardan birini eksiltir, hepsini değil.

2010'daki deneyde betikleri devre dışı bırakılmış tarayıcılar ayrı bir sınıfa kondu: «parmak izi çıkarılmaya görece dirençli» örnekler. O dönemde bu hamle gerçekten işe yarıyordu.

Ancak «görece zor» ile «saklanabiliyor» farklı şeyler. Çevrenizdeki herkes betiği açık tutarken siz kapatan küçük azınlığa düşüyorsanız, bu durumun kendisi bir özellik oluşturur. Nadir bir durum insanı görünmez yapmaz, yalnızca daha kolay seçilir hale getirir.

Asıl uğraşılması gereken yer burası değil. Parmak izinin yarattığı sıkıntı, aynı kimlik kümesinin birbirine bağlanmasıdır; tek bir parametrenin yeterince gizli olup olmaması değil. Bu da parametreleri daha renkli ve daha nadir hale getirmenin neden genelde işe yaramadığını açıklar.

Aynı bilgisayarda tarayıcı değiştirince hangi değerler değişir

Birçok kişi birkaç tarayıcı kurmanın birkaç kimlik anlamına geldiğini sanır; oysa değişen, tahmin edilenden azdır. Tarayıcı değişiminden sonraki davranışa göre bu parametreler iki gruba ayrılır:

• Değişenler: tarayıcı tanıtım dizesi, grafik ve canvas arayüzlerinin render sonucu, eklenti listesi, yerel depolama ve oturum durumu.
• Değişmeyenler: ekran kartı ve sürücü modeli, ekranın fiziksel parametreleri, CPU çekirdek sayısı, bellek kademesi, sistem saat dilimi, sistem yazı tipleri.

Birinci grubu tarayıcının kendisi getirir; yeniden kurmak, güncellemek, eklenti eklemek dizilimi yeniden düzenler. İkinci grup donanımdan ve sistemden gelir; kaç tarayıcı değiştirirseniz değiştirin aynı değerler kalır. «Farklı görünen» birkaç makineyi birbirine bağlayan ip tam da bunlardır.

Aynı bilgisayarda üç tarayıcı açmak, bir sitenin gözünde üç cihaz değil, aynı cihazı kullanmanın üç yolu gibi görünür.

Üç adımlık kendi kendine test: çok hesap yönetiminde bu ölçüt nasıl kullanılır

Herkese açık test siteleri kayıt istemeden çalışır. Sonuçları dinlemek yerine bir kez kendi makinenizin ne bildirdiğine bakmak daha iyidir. Çok hesap senaryosuna geçince, test sonucunu okumaktan önce belirlenmesi gereken şey aslında sıralamadır; sıfırdan ilk ortama giden sıra yazısında proxy, formlar ve kontrol listesi sıraya konmuş durumda.

Test sırası şöyle belirlenebilir:

1. Önce benzersizliğin hangi parametrelerden geldiğine bakın. Test bitince toplam puana değil, işaretlenen «en benzersiz parametrelere» bakın; bunlar genelde değiştirmesi en zor olan kısmınızdır.
2. Sonra aynı makinedeki iki tarayıcıyı ayrı ayrı test edip iki seferde de aynı çıkan parametreleri işaretleyin. Örtüşenler donanım ve sistem katmanına aittir; tarayıcı değiştirmekle kurtulamazsınız.
3. En sonda betikleri kapatıp testi yineleyin ve hangi değerlerin hâlâ okunabildiğine bakın. Kalanlar, betik olmadan da elde edilebilen kısımdır.

Üç adımın sonunda genelde aynı sonuca varılır. Gerçekten zor değişen parametre sayısı azdır, ama kimliğinizi yerinde tutan tam da onlardır.

Bu sonuçtan yola çıkınca çok hesap senaryosunun yöntemi kolayca çıkar. Yapılması gereken, her hesabın ortamını kendi içinde tutarlı kılmaktır; parametrelerin daha tuhaf olmasına gerek yok.

MostMate bunu ortam oluşturma adımına yerleştiriyor. Dil, arayüz dili, saat dilimi ve konum varsayılan olarak çıkış hattını izler. Ekran, çekirdek sayısı ve bellek gibi donanım maddelerinde yalnızca gerçek ve rastgele olmak üzere iki seçenek sunulur; varsayılandan sapmak için elle seçim yapmanız gerekir. Bu değer seçimi ile maddeler halinde elle yapılandırma karşılaştırması sitede yan yana görülebilir.

Bu tercihin neden böyle olduğu, dört tasarım ilkesinin sırasıyla neyi engellediği yazısında daha ayrıntılı anlatılıyor. Hangi ilkenin hangi tür arızaya karşılık geldiği ve dört ilke birbiriyle çeliştiğinde önce hangisinin korunacağı da orada yazıyor.

Doğrudan başlamak isterseniz MostMate'i indirebilir, kurduktan sonra kendi ortamınızı yukarıdaki üç adımla yeniden test edebilirsiniz.

MostMate'in bu değerleri tek bir ortam yönetiminde nasıl topladığını önce görmek isterseniz ürün açıklamasından başlayabilirsiniz.

Sık sorulan sorular

Çerezleri silmek veya gizli modda gezmek parmak izini değiştirir mi?

Hayır. Çerezler ve yerel depolama, tarayıcının site adına bıraktığı notlardır; silinince giderler. Parmak izi farklıdır: cihazdan ve tarayıcıdan o anda okunan değerlerdir, makinenizde saklanmazlar. Gizli mod yerelde ne kaldığını sınırlar; tarayıcının dışarıya ne bildirdiğini değiştirmez.

IP değiştirmek kimliği de değiştirir mi?

Yalnızca ağ katmanı değişir. Dil tercihleri, yazı tipleri, ekran kartı ve sistem saat dilimi IP değişince farklılaşmaz. Yeni hattın bölgesi saat diliminizle ve dilinizle uyuşmuyorsa, tersine, tutarsız bir bileşim ortaya çıkar.

Parmak izi engelleyen bir eklenti işe yarar mı?

Yaygın yaklaşım, bir kısım parametreye gürültü eklemek ya da hepsini tek bir yaygın değer kümesine indirmektir. Tek küme sizi gerçekten kalabalığa karıştırır, bedeli aynı özellikleri paylaşan bir grup oluşturmaktır. Gürültü ise aynı ortamın iki seferde farklı değer bildirmesine yol açabilir; bu da başlı başına bir anormalliktir. İki yaklaşım da donanım ve sistem katmanına dokunamaz.

Siteler gerçekten parmak izlerini karşılaştırıyor mu?

Dolandırıcılıkla mücadelede ve risk yönetiminde standart bir yöntemdir; özellikle giriş, kayıt ve ödeme aşamalarında sık görülür. Ancak çoğu site bunu tek bir sinyal olarak değerlendirir, hesap davranışı ve cihaz geçmişiyle birlikte okur, nadiren tek bir parametreye bakarak karar verir.

Aynı model iki bilgisayarın parmak izi aynı olur mu?

Tamamen aynı olmaz. Aynı model makineler sistem sürümü, yazı tipleri, sürücüler, saat dilimi, dil ve kurulu eklentiler bakımından hızla ayrışır; tüm bu farklar parmak izine yansır. Seri kurulumla çoğaltılmış makineler birbirine en yakın olanlardır, ama bu senaryoların çok küçük bir kısmını oluşturur.

Anti-detect tarayıcı kullanınca bulunmam mümkün değil mi?

Hayır. Anti-detect tarayıcı ortamlar arasındaki sınırlarla ilgilenir ve her hesaba ayrı, kendi içinde tutarlı bir tarayıcı kimliği verir. Platformun hesap aidiyetini nasıl belirlediğini değiştirmez ve hiçbir sonuç taahhüt etmez. Bir şeyi de ayırmak gerekir: parmak izi tutarlılığı bir kendi kendini denetleme yöntemidir, platformun denetim kuralı değildir. İkisini aynı şey sanmak, araçtan gerçek dışı beklentiler doğurur.