Was ist Browser-Fingerprinting und was kann eine Website tatsächlich auslesen?
Jedes Mal, wenn Sie eine Seite öffnen, übergibt der Browser der Website eine lange Liste von Fakten über sich selbst. Keiner davon ist geheim, keiner fragt um Erlaubnis, und die meisten sind da, damit die Seite korrekt dargestellt werden kann. Fingerprinting beginnt, wenn eine Website diese Fakten nicht mehr zur Darstellung nutzt, sondern um Sie wiederzuerkennen.
Was eine Seite ohne Nachfrage auslesen kann
Ein Skript in einem gewöhnlichen Tab kann unter anderem Folgendes auslesen: den User-Agent-String, die Liste der bevorzugten Sprachen, die Zeitzone, Bildschirmgröße und Pixeldichte, die Anzahl der CPU-Threads, einen gerundeten Wert für den Gerätespeicher, die Farbtiefe, ob Touch unterstützt wird, den Namen des Grafik-Renderers hinter WebGL sowie das Ergebnis, ein kleines Bild auf ein Canvas zu zeichnen oder einen kurzen Audiopuffer zu rendern. Es kann außerdem beobachten, wie lange bestimmte Operationen dauern, welche Schriften die Breite einer Textzeile verändern und welche Mediengeräte vorhanden sind (Anzahl, nicht Namen, solange Sie keinen Zugriff gewähren).
Einzeln sind diese Werte langweilig. Eine Zeitzone grenzt Sie auf einige hundert Millionen Menschen ein. Zusammen grenzen sie Sie viel weiter ein, denn selten ist die Kombination. Ein Windows-Rechner mit einer bestimmten NVIDIA-Renderer-Kennung, 12 Threads, einem 2560×1440-Bildschirm, Französisch und Englisch in dieser Reihenfolge und einem bestimmten Canvas-Hash ist keine Menschenmenge.
Was ein Signal zur Identifikation nützlich macht
Drei Eigenschaften zählen. Das Signal muss stabil sein: Derselbe Browser sollte morgen denselben Wert liefern. Es muss vielfältig sein: Verschiedene Browser sollten verschiedene Werte liefern. Und es muss günstig sein: in Millisekunden ohne Berechtigungsabfrage auslesbar. Der Canvas-Hash schneidet in allen dreien gut ab, weshalb er in jeder Fingerprinting-Bibliothek auftaucht. Die Bildschirmgröße schneidet bei den ersten beiden gut ab und bei der dritten perfekt. Der User-Agent schnitt früher bei der Vielfalt gut ab und wurde von den Browserherstellern genau deshalb bewusst vereinheitlicht.
Was eine Seite nicht auslesen kann
Dieser Teil wird übertrieben. Ein Seitenskript kann Ihre echte Adresse nicht sehen, wenn Sie hinter einem Proxy sind: Es sieht, was der Proxy präsentiert. Es kann keine anderen Tabs, Ihren Verlauf, Ihre Lesezeichen oder gespeicherten Passwörter lesen. Es kann nicht sicher feststellen, ob Sie in einem privaten Fenster sind; die Heuristiken, die das behaupten, versagen regelmäßig. Es kann Ihren Namen nicht kennen. Und es kann nicht selbst entscheiden, ob eine Adresse ein Proxy oder ein Rechenzentrum ist: Dieses Urteil stammt aus einer Reputationsdatenbank, für die die Website bezahlt, nicht aus etwas, das Ihr Browser gemeldet hat.
Websites, die einen „Bot-Score“ oder „Proxy: ja“ anzeigen, kombinieren das, was Ihr Browser gemeldet hat, mit Daten eines Dritten. Das ist legitim, aber es ist wichtig zu wissen, welche Hälfte Messung und welche Nachschlagen ist.
Warum es Diagnoseseiten gibt
Eine Diagnoseseite wie PowerScan liest dieselben Signale aus, die ein Tracker auslesen würde, und zeigt sie Ihnen, statt sie zu speichern. Es geht nicht darum, Sie zu bewerten. Sie sollen zwei Dinge prüfen können: ob ein Signal sichtbar ist, das Sie verborgen glaubten, und ob die Signale untereinander konsistent sind. Inkonsistenz ist es, was Accounts markiert: eine Adresse in einem Land, eine Browseruhr in einem anderen, ein WebRTC-Kandidat, der nicht zu der Adresse passt, von der Sie gekommen sind.
Wenn Sie einen Bericht lesen, betrachten Sie jede Zeile als Antwort auf eine Frage: „Was hat dieser Browser dieser Seite gerade eben gesagt?“ Nicht mehr. Ein Hash ist kein Urteil, und die Zahl der ausgelesenen Signale ist kein Maß dafür, wie echt Sie wirken.
