Що таке відбиток браузера і що саме може прочитати вебсайт?
Щоразу, коли ви відкриваєте сторінку, браузер передає сайту довгий список фактів про себе. Жоден із них не секретний, жоден не просить дозволу, і більшість існує для того, щоб сторінка коректно відображалася. Відбиток — це коли сайт перестає використовувати ці факти для відображення і починає використовувати їх, щоб упізнавати вас.
Що сторінка може прочитати, не питаючи
Скрипт у звичайній вкладці може прочитати, серед іншого: рядок user agent, список бажаних мов, часовий пояс, розмір екрана й щільність пікселів, кількість потоків процесора, округлене значення пам’яті пристрою, глибину кольору, чи підтримується дотик, назву графічного рендерера за WebGL, а також результат малювання невеликого зображення на canvas чи відтворення короткого аудіобуфера. Він може також спостерігати, скільки часу тривають певні операції, які шрифти змінюють ширину рядка тексту і які медіапристрої існують (кількість, а не назви, якщо ви не надали доступ).
Окремо ці дані нудні. Часовий пояс звужує вас до кількох сотень мільйонів людей. Разом вони звужують набагато сильніше, бо рідкісна саме комбінація. Комп’ютер з Windows із конкретним рядком рендерера NVIDIA, 12 потоками, екраном 2560×1440, французькою й англійською в такому порядку та певним хешем canvas — це не натовп.
Що робить сигнал корисним для ідентифікації
Важливі три властивості. Сигнал має бути стабільним: той самий браузер має давати те саме значення завтра. Він має бути різноманітним: різні браузери мають давати різні значення. І він має бути дешевим: читатися за мілісекунди без запиту дозволу. Хеш canvas добре відповідає всім трьом, тому він є в кожній бібліотеці відбитків. Розмір екрана добре відповідає перших двом і ідеально — третій. User agent колись добре відповідав за різноманіттям, але виробники браузерів навмисно його вирівняли саме з цієї причини.
Чого сторінка прочитати не може
Цю частину перебільшують. Скрипт сторінки не бачить вашої справжньої адреси, якщо ви за проксі: він бачить те, що подає проксі. Він не може читати інші вкладки, вашу історію, закладки чи збережені паролі. Він не може напевно сказати, чи ви в приватному вікні; евристики, що це стверджують, регулярно ламаються. Він не знає вашого імені. І він не може сам вирішити, чи адреса — проксі або дата-центр: цей вердикт дає репутаційна база, за яку платить сайт, а не щось, що сказав ваш браузер.
Сайти, що показують «бот-скор» або «проксі: так», поєднують те, що повідомив ваш браузер, з даними третьої сторони. Це легітимна практика, але важливо знати, яка половина — вимірювання, а яка — пошук у базі.
Навіщо існують діагностичні сторінки
Діагностична сторінка на кшталт PowerScan читає ті самі сигнали, що й трекер, і показує їх вам замість того, щоб зберігати. Мета не в тому, щоб оцінити вас. Вона в тому, щоб дати вам перевірити дві речі: чи видимий сигнал, який ви очікували приховати, і чи сигнали узгоджені між собою. Неузгодженість — те, через що акаунти позначають: адреса в одній країні, годинник браузера в іншій, кандидат WebRTC, що не збігається з адресою, з якої ви прийшли.
Читаючи звіт, сприймайте кожен рядок як відповідь на одне запитання: «що цей браузер щойно сказав цій сторінці?» Не більше. Хеш — не вердикт, а кількість прочитаних сигналів — не міра того, наскільки справжнім ви виглядаєте.
