ब्राउज़र फ़िंगरप्रिंटिंग क्या है, और वेबसाइट असल में क्या पढ़ सकती है?
जब भी आप कोई पेज खोलते हैं, ब्राउज़र साइट को अपने बारे में तथ्यों की लंबी सूची थमा देता है। इनमें से कोई गुप्त नहीं, किसी के लिए अनुमति नहीं माँगी जाती, और ज़्यादातर इसलिए हैं कि पेज सही ढंग से रेंडर हो सके। फ़िंगरप्रिंटिंग तब होती है जब साइट इन तथ्यों को रेंडर करने के लिए इस्तेमाल करना छोड़कर आपको पहचानने के लिए इस्तेमाल करने लगती है।
पेज बिना पूछे क्या पढ़ सकता है
साधारण टैब में चलती स्क्रिप्ट, दूसरी चीज़ों के साथ, ये पढ़ सकती है: यूज़र एजेंट स्ट्रिंग, पसंदीदा भाषाओं की सूची, टाइमज़ोन, स्क्रीन का आकार और पिक्सल घनत्व, CPU थ्रेड की संख्या, डिवाइस मेमोरी का पूर्णांकित आँकड़ा, कलर डेप्थ, टच का समर्थन, WebGL के पीछे ग्राफ़िक्स रेंडरर का नाम, और canvas पर छोटी इमेज बनाने या छोटा ऑडियो बफ़र रेंडर करने का नतीजा। वह यह भी देख सकती है कि कुछ ऑपरेशन में कितना समय लगता है, कौन-से फ़ॉन्ट टेक्स्ट की एक पंक्ति की चौड़ाई बदलते हैं, और कौन-से मीडिया डिवाइस मौजूद हैं (संख्या, नाम नहीं, जब तक आप एक्सेस न दें)।
अकेले-अकेले ये उबाऊ हैं। टाइमज़ोन आपको कुछ सौ करोड़ लोगों में से कुछ करोड़ तक सीमित करता है। साथ मिलकर ये आपको कहीं ज़्यादा सीमित कर देते हैं, क्योंकि दुर्लभ संयोजन होता है। किसी ख़ास NVIDIA रेंडरर स्ट्रिंग वाली Windows मशीन, 12 थ्रेड, 2560×1440 स्क्रीन, इसी क्रम में फ़्रेंच और अंग्रेज़ी, और एक ख़ास canvas हैश भीड़ नहीं है।
पहचान के लिए संकेत को क्या उपयोगी बनाता है
तीन गुण मायने रखते हैं। संकेत स्थिर होना चाहिए: वही ब्राउज़र कल भी वही मान दे। उसे विविध होना चाहिए: अलग ब्राउज़र अलग मान दें। और उसे सस्ता होना चाहिए: अनुमति के पॉप-अप के बिना मिलीसेकंड में पढ़ा जा सके। canvas हैश तीनों पर अच्छा उतरता है, इसीलिए वह हर फ़िंगरप्रिंटिंग लाइब्रेरी में दिखता है। स्क्रीन का आकार पहले दो पर अच्छा उतरता है और तीसरे पर पूरी तरह। यूज़र एजेंट विविधता में अच्छा हुआ करता था और ब्राउज़र वेंडरों ने ठीक इसी वजह से उसे जानबूझकर समतल कर दिया है।
पेज क्या नहीं पढ़ सकता
इस हिस्से को बढ़ा-चढ़ाकर बताया जाता है। अगर आप प्रॉक्सी के पीछे हैं तो पेज स्क्रिप्ट आपका असली पता नहीं देख सकती: वह वही देखती है जो प्रॉक्सी दिखाती है। वह दूसरे टैब, आपकी हिस्ट्री, आपके बुकमार्क या सहेजे पासवर्ड नहीं पढ़ सकती। वह पक्के तौर पर नहीं बता सकती कि आप प्राइवेट विंडो में हैं या नहीं; जो अनुमान ऐसा दावा करते हैं वे नियमित रूप से टूटते हैं। वह आपका नाम नहीं जान सकती। और वह अपने आप तय नहीं कर सकती कि कोई पता प्रॉक्सी है या डेटा सेंटर: वह फ़ैसला उस रेप्युटेशन डेटाबेस से आता है जिसके लिए साइट पैसे देती है, ऐसी किसी चीज़ से नहीं जो आपके ब्राउज़र ने कही।
जो साइटें “बॉट स्कोर” या “प्रॉक्सी: हाँ” दिखाती हैं, वे आपके ब्राउज़र की बताई बातों को किसी तीसरे पक्ष के डेटा के साथ मिलाती हैं। ऐसा करना जायज़ है, पर यह जानना ज़रूरी है कि कौन-सा आधा मापन है और कौन-सा लुकअप।
डायग्नोस्टिक पेज क्यों होते हैं
PowerScan जैसा डायग्नोस्टिक पेज वही संकेत पढ़ता है जो कोई ट्रैकर पढ़ता, और उन्हें स्टोर करने के बजाय आपको दिखा देता है। मक़सद आपको स्कोर देना नहीं है। मक़सद आपको दो बातें जाँचने देना है: जो संकेत आपने छिपा हुआ मानकर चला, क्या वह दिख रहा है, और क्या संकेत एक-दूसरे से सुसंगत हैं। असंगति ही अकाउंट को फ़्लैग कराती है: एक देश का पता, दूसरे देश की ब्राउज़र घड़ी, और ऐसा WebRTC उम्मीदवार जो आपके आने के पते से मेल नहीं खाता।
रिपोर्ट पढ़ते समय हर पंक्ति को एक सवाल का जवाब मानें: “इस ब्राउज़र ने इस पेज को अभी क्या बताया?” इससे ज़्यादा कुछ नहीं। हैश कोई फ़ैसला नहीं है, और पढ़े गए संकेतों की संख्या इस बात का माप नहीं कि आप कितने असली दिखते हैं।
