Отпечаток браузера: что сайт узнаёт о вас без спроса

Что такое отпечаток и почему он переживает смену IP

Ваш браузер отвечает на вопросы, которые ему вслух никто не задаёт. Какие шрифты установлены. Сколько потоков CPU сообщает машина. На какой часовой пояс настроены часы. Как называется графический чип. Ничто из этого не требует разрешения, потому что по отдельности ничто из этого не приватно — у миллионов людей двенадцать потоков, и часовой пояс не секрет.

Опознание идёт от комбинации. Двенадцать потоков сами по себе ничем не примечательны. Двенадцать потоков плюс Europe/Warsaw плюс конкретная строка GPU плюс определённый набор шрифтов плюс экран 3440×1440 — это на практике вы. Сайту не нужно знать ваше имя, чтобы завтра вас узнать; ему достаточно узнать ту же комбинацию.

И вот это как раз застаёт людей врасплох, когда они начинают пользоваться прокси. Смена выходного адреса меняет ровно одно значение из сорока, которые может прочитать страница. Всё, что выше, — железо, шрифты, часы, языковые предпочтения — точно такое же, каким было на вашем предыдущем адресе. Если сайт уже отслеживал комбинацию, новый IP выглядит как тот же посетитель на новом соединении, а это в каком-то смысле событие интереснее, чем новый посетитель.

Как эта страница читает ваши данные

Нажмите кнопку — и страница соберёт сигналы так, как это сделал бы трекер, перечислит каждое значение целиком и свернёт набор в одну строку хешем. Список — это и есть суть: хеш сам по себе ничего вам не даёт, с ним нечего делать, а вот вид того, что ваш рендерер GPU — длинное конкретное название модели, точно говорит, какое значение вас выдаёт.

Каждый сигнал помечен тем, насколько он вас сужает. «Редкий» значит, что он близок к тому, чтобы опознать вас сам по себе. «Общий» значит, что большинство посетителей присылает то же значение. Этот рейтинг — полезный результат страницы: это разница между «у меня есть отпечаток» и «вот два значения, которые меня выдают».

Всё происходит в вашей вкладке. Когда вы нажимаете кнопку, к нам не уходит никакого запроса, и это можно проверить на панели сети в инструментах разработчика. Это не только дань приватности: страница, которая утверждала бы, что эти значения вас опознают, и при этом сама бы их собирала, обосновывала бы собственную мысль довольно скверно.

Чего мы утверждать не будем

Многие страницы про отпечатки говорят, что вы уникальны среди некоторого числа посетителей. Чтобы так сказать, сайту нужно держать базу отпечатков всех остальных и сравнивать ваш с ней — а это ровно то поведение, о котором страница вас предупреждает, и число в любом случае отражает только трафик самого сайта. У нас такой базы нет, и строить мы её не собираемся, поэтому страница сообщает, какие из ваших сигналов редкие, и не трогает арифметику.

Где это действительно применяется

У отпечатывания репутация чего-то нечистоплотного, и она заслоняет то, насколько обыденным оно стало. Четыре случая охватывают почти всё, и только один из них — реклама.

• Обнаружение мошенничества. Банки и платёжные процессоры снимают отпечаток каждой сессии, потому что вход с знакомого устройства по незнакомому адресу — это один риск, а вход с устройства, которого раньше никто не видел, — другой. Поэтому новый профиль браузера часто вызывает проверку, которой не вызывает один только новый IP.
• Обнаружение ботов. Коммерческие сервисы перед крупными сайтами проверяют не редкость значений, а внутренние противоречия: headless-браузер, забывший подделать GPU, user-agent, не совпадающий с набором шрифтов. Именно согласованность они и измеряют.
• Связывание аккаунтов. Платформы, которые разрешают только один аккаунт, используют отпечаток, чтобы заметить, что ваши пять аккаунтов работают с одной машины. Менять IP для каждого и оставлять всё остальное одинаковым — именно эта ошибка и ловится.
• Реклама. Изначальное применение, а теперь самое незначительное из всех: сторонние cookie много лет закрывали эту задачу дешевле, а регулирование сделало практику неудобной для защиты.

Практический вывод: те, кто читает ваш отпечаток, в основном ищут противоречия, а не редкие значения. Согласованная, обычная на вид машина не привлекает внимания, даже если её точная комбинация уникальна, — а машина, которую явно подправляли, привлекает внимание, хотя каждое отдельное значение выглядит обычным.

Что делать со значениями, которые выделяются

Инстинкт подсказывает взяться за экзотические: подделать canvas, скрыть GPU, заблокировать audio context. Обычно от этого становится хуже. Браузер, который сообщает об отсутствии canvas, WebGL и аудиостека, не анонимен; он один из очень немногих посетителей, которые пошли на такие усилия, и само блокирование уже сигнал.

Сбои, которые действительно приводят к пометке аккаунтов, — это сбои согласованности, и они скучны:

• Часовой пояс не совпадает с адресом выхода. Немецкий резидентный прокси и часы браузера, установленные на Asia/Kolkata. Это самый распространённый случай, и для его обнаружения хватает одной строки JavaScript.
• Список языков тоже не совпадает. Заголовки Accept-Language и navigator.languages доступны для чтения и должны рассказывать ту же историю, что и адрес.
• Экран невозможен. Окно сообщает размер, которого нет ни у одного выпускаемого дисплея, обычно потому, что anti-detect-инструмент его округлил.
• Десктоп заявляет о поддержке касаний, или телефон заявляет, что её нет. Противоречия внутри отпечатка обнаружить легче, чем любое отдельное странное значение.

Практический подход — скучный: меняйте как можно меньше, сделайте так, чтобы изменения согласовывались со всем остальным, и используйте адрес в стране, в которой ваш браузер уже заявляет, что находится. Если вы ведёте несколько аккаунтов, дайте каждому профиль браузера, внутренне согласованный, и не трогайте его — именно согласованность во времени делает его похожим на настоящий.

Проверка результата

Запускайте эту страницу заново после каждого изменения и следите, какие значения меняются. О настройке, которая должна была изменить ваш отпечаток, но не изменила, стоит знать до того, как вы на неё положитесь. Тест утечки WebRTC охватывает единственный сигнал, который эта страница не видит, — адрес, который браузер сам сообщает через WebRTC и который умеет противоречить вашему прокси по-своему.