Paano Ka “Nakikilala” ng mga Website sa Browser Mo? Paliwanag sa Browser Fingerprinting

Maraming tao ang nag-aakalang kapag regular na binubura ang Cookies, hindi na sila makikilala ng mga website. Hindi ganoon kasimple ang realidad. Sa sandaling magbukas ka ng web page, awtomatikong naglalantad ang browser ng maraming impormasyon tungkol sa device at software. Maaaring pagsamahin ng website ang mga signal na ito upang makabuo ng isang medyo “natatanging” identifier na tinatawag na browser fingerprint. Kahit mabura mo ang Cookies, maaari ka pa ring makilala ng website hangga’t halos hindi nagbabago ang mga katangian ng fingerprint. Ipinapaliwanag ng artikulong ito kung paano gumagana ang browser fingerprinting, anong mga praktikal na panganib ang dala nito, at paano mababawasan ang mga panganib na iyon.

Anong impormasyon ba talaga ang kinokolekta ng mga website?

Hindi kailangang aktibo kang magbigay ng impormasyon para makagawa ang isang website ng browser fingerprint. Sapat nang basahin nito ang ilang katangiang likas na inilalantad ng browser sa bawat pagbisita. Kabilang sa mga karaniwang pinagmumulan ang:

• User-Agent (UA): Bawat HTTP request ay may kasamang string na maaaring maglaman ng pangalan at bersyon ng browser, operating system, at iba pang detalye;
• HTTP request headers: Bukod sa UA, maaaring kasama rito ang language preference (Accept-Language), compression method (Accept-Encoding), at iba pa;
• Screen at kulay: Maaaring basahin ng browser ang screen resolution at color depth;
• Listahan ng font: Magkakaiba ang default fonts na sinusuportahan ng iba’t ibang operating system at browser;
• Time zone: Maaaring matukoy ang time zone ng device;
• Plugins at extensions: Maaaring makita sa impormasyon kung anong plugins ang naka-install o kung anong bersyon ng script engine ang ginagamit;
• Impormasyon sa hardware: Maaaring mabasa ng ilang paraan ang uri ng CPU, impormasyon sa GPU, at iba pang signal;
• Canvas fingerprint: Pinagdo-drawing ng website ang browser gamit ang HTML5 canvas. Ang iba’t ibang device, graphics card, at driver ay gumagawa ng maliliit na pagkakaiba sa rendering, at ang pagsukat sa mga pagkakaibang ito ay maaaring bumuo ng natatanging signal.

Kapag paisa-isa, maaaring hindi naman masyadong “natatangi” ang bawat katangian. Ngunit kapag pinagsama ang dose-dosenang katangian, maaaring maging napaka-distinctive ng profile para sa isang partikular na user. Ito rin ang dahilan kung bakit kadalasang hindi sapat ang “pagbura ng Cookies”: ang fingerprint ay nakatali sa mga parameter ng device at browser, hindi sa Cookie mismo.

Ano ang praktikal na epekto ng browser fingerprinting?

Para sa karamihan ng karaniwang user, pangunahing ginagamit ang browser fingerprinting para sa targeted advertising at fraud prevention, kaya maaaring hindi agad halata ang epekto nito. Ngunit kung nasa cross-border e-commerce ka o namamahala ng overseas social-media accounts at kailangan mong hawakan ang maraming account nang sabay-sabay, nagiging mas konkreto ang panganib.

Karaniwang ginagamit ng registration, login, at risk-control systems ang “pagkakatulad ng browser fingerprint” bilang isa sa mga signal para tukuyin kung ang maraming account ay pag-aari ng iisang tao o posibleng magkakaugnay. Kung iisang browser at halos magkakaparehong parameter ang ginagamit mo sa pag-register o pag-login sa maraming account, maaaring maging napakataas ng pagkakatulad ng fingerprints at maituring na magkakaugnay ang mga account. Kapag natukoy ang ganitong ugnayan, maaaring maapektuhan ang isang account ng isa pa o maging limitado ang buong grupo ng account, na maaaring magdulot ng malaking operational loss.

Kaya para sa mga namamahala ng maraming account, ang tunay na layunin ay hindi ang maging “ganap na invisible,” kundi ang paghiwalayin ang fingerprints at runtime environments ng iba’t ibang account habang pinananatiling stable at consistent ang mga setting. Nakakatulong ito upang hindi mabunyag ang ugnayan dahil sa sobrang magkakaparehong parameter o pabago-bagong configuration.

Paano mababawasan ang panganib mula sa fingerprint?

Ang pangunahing ideya sa pagbabawas ng fingerprint-association risk ay panatilihing “magkahiwalay at stable” ang mga environment. Maaari itong hatiin sa ilang hakbang:

Una, pamahalaan ang mga browser parameter bilang bahagi ng account. Ang operating system, time zone, language, resolution, at fonts ay naglalantad ng katangian ng device at rehiyon. Dapat tumugma ang mga parameter na ito sa business market ng account sa halip na random na itakda o madalas baguhin. Dapat ding maayos na i-fix o pamahalaan ang hardware-level rendering characteristics gaya ng Canvas, WebGL, at Audio upang maiwasang maglantad ang iba’t ibang account ng parehong rendering signal.

Ikalawa, patakbuhin ang mga account sa magkakahiwalay at independent na environment. Sa halip na palipat-lipat ng account sa iisang browser at paulit-ulit na mag-clear ng cache, ilagay ang bawat account sa sarili nitong environment, na may hiwalay na login state, proxy, at parameter set upang hindi sila magkaapekto.

Ikatlo, gumamit ng environment-management tool upang sabay na pamahalaan ang “parameters” at “environments.” Kapag kaunti pa ang account, kaya pa ang manual configuration. Kapag dumami na ang account at kailangan pang hatiin ayon sa platform at rehiyon, nagiging hindi praktikal at madaling magkamali ang pag-configure nang paisa-isa. Sa puntong iyon, mahalaga ang centralized management.

Ang PurpleMark ay isang browser environment management platform na idinisenyo para sa ganitong uri ng pangangailangan. Kapag gumagawa ng environment, maaari mong i-set ang operating system, Chromium kernel version, User-Agent, resolution, language, time zone, at geographic location. Maaari rin nitong pamahalaan ang mas mababang antas ng fingerprint dimensions gaya ng Canvas, WebGLImage, AudioContext, at WebRTC, mag-bind ng proxy sa environment, at mag-import ng login Cookies, upang gumamit ang iba’t ibang account ng magkakahiwalay na parameter at runtime environment ayon sa business needs. Kumpara sa mano-manong pag-configure ng bawat item, pinagsasama nito ang mga hiwa-hiwalay na setting sa iisang workspace at sinusuportahan ang grouping at reuse. Para sa eksaktong kakayahan, tingnan ang opisyal na website ng PurpleMark o ang aktuwal na environment-creation interface sa web version.

Ilang bagay na dapat malinaw muna

Ang pagbabawas ng fingerprint risk ay hindi nangangahulugang “paghanap ng paraan para lampasan ang mga patakaran ng platform.” Layunin ng environment-management tool na tulungan kang ayusin nang malinaw at sistematiko ang mga account na lehitimo mong pinapatakbo, hindi para gumawa nang maramihan ng mga account na lumalabag sa patakaran o umiwas sa risk controls ng platform. Tandaan din na hindi awtomatikong mas mabuti ang mas “random” na parameter. Sa pangmatagalan, mas maaasahan ang stable at consistent na parameter na tugma sa business market ng account. At kahit maayos ang environment isolation, hindi ito nangangahulugan ng “100% safety” dahil maraming signal ang sabay-sabay na tinitingnan ng mga platform.

Sa isang pangungusap

Ang browser fingerprint ay parang “identity code” na binubuo ng website mula sa dose-dosenang katangian ng iyong device at browser. Maaari ka nitong patuloy na makilala kahit nabura na ang Cookies. Para sa multi-account operators, ang panganib ay maaaring maituring na magkakaugnay ang iba’t ibang account kapag masyadong magkapareho ang fingerprints. Ang susi ay hindi “kumpletong invisibility,” kundi ang paghiwalay at pagpapanatiling stable ng account parameters at environments, at paggamit ng tool gaya ng PurpleMark upang sabay na pamahalaan ang environments, fingerprint parameters, at proxies. Kung gusto mong mag-configure ng independent environment mula sa simula, maaari kang magsimula sa PurpleMark web version.