Glassbox покажет, насколько легко сайты узнают ваш браузер по отпечатку

Разработчик и специалист по безопасности Дэвид Дейл выпустил Glassbox — инструмент, который демонстрирует, насколько заметным пользователь выглядит для систем браузерного фингерпринтинга. Спойлер: режим инкогнито здесь не волшебный плащ.

Сервис запускает более 30 проверок и собирает признаки, которыми пользуются рекламные трекеры, антифрод-системы и другие любители узнать посетителя без файлов cookie.

Среди них можно найти Canvas, WebGL, установленные шрифты, функции WebAssembly, доступные API, состояние аутентификации на сторонних сайтах и даже особенности обработки звука.

Почти все вычисления выполняются непосредственно в браузере. Наружу данные не отправляются, за исключением обращения к публичному API для определения геолокации. Пользователь получает сырые результаты проверок и оценку идентифицируемости своего цифрового отпечатка.

Однако разработчик подчёркивает: показатель строится на математической модели, а не на сравнении с реальной базой посетителей. Glassbox суммирует уникальность отдельных признаков, учитывает защитные механизмы браузера и ограничивает результат примерно 33 битами — этого теоретически достаточно, чтобы выделить одного человека среди населения Земли.

В тестах издания The Register рабочий Chrome получил 99% идентифицируемости и оказался предположительно уникальным среди 7,6 млрд браузеров. Tor Browser показал 56%, Firefox — 89%. Но эти цифры не стоит воспринимать как истину в последней инстанции: без серверной статистики Glassbox не знает, насколько редок отпечаток в действительности.

По словам Дейла, лучший способ затеряться — использовать браузер, создающий большую группу одинаково выглядящих пользователей. Чрезмерно настроенная и укреплённая конфигурация может дать обратный эффект: пока вы гордо отключаете двадцатый API, ваш уникальный набор настроек уже машет трекерам рукой.

Разработчик также советует использовать VPN или Tor и закрывать утечки WebRTC.