Gratis fingerprinttestpagina’s tonen veel browser- en netwerksignalen, maar één score vertelt niet het hele verhaal. Vergelijk User-Agent, tijdzone, WebGL, Canvas, WebRTC en andere waarden om te beoordelen of een omgeving intern consistent is.
Elke keer dat je een webpagina opent of inlogt op een account, stelt de browser een reeks gegevens bloot: systeemtype, browserversie, lettertypen, schermresolutie, renderresultaten van Canvas en WebGL, plus netwerkgegevens zoals IP, DNS en WebRTC. Zelfs nadat cookies zijn gewist, kan de combinatie van deze signalen nog steeds worden gebruikt om apparaten te herkennen en aan elkaar te koppelen.
Er zijn tientallen gratis testpagina’s, maar voor langdurig gebruik heb je eigenlijk maar een paar categorieën nodig. Handiger dan een lange lijst met URLs bewaren, is eerst begrijpen wat elke pagina controleert en daarna leren hoe je de resultaten met elkaar vergelijkt.
De controles vallen in hoofdzaak in deze groepen
De eerste groep bestaat uit informatie die de browser zelf rapporteert: User-Agent, browser- en engineversie, identificatie van het besturingssysteem, schermresolutie, talenlijst, tijdzone, geïnstalleerde lettertypen en pluginlijst. Deze waarden zijn gemakkelijk uit te lezen en ook gemakkelijk inconsistent te configureren. Het systeem kan bijvoorbeeld een bepaald merk of model melden terwijl taal en tijdzone naar een andere regio wijzen.
De tweede groep omvat renderparameters: Canvas-uitvoer, WebGL-parameters en GPU-informatie, kenmerken van audioverwerking en bij sommige tools de nauwkeurigheid van wiskundige berekeningen. Deze waarden zijn op zichzelf niet goed of slecht; het gaat erom of ze passen bij de opgegeven systeemidentiteit.
De derde groep betreft het netwerk: locatie en type van het toegangs-IP, het DNS-resolutiepad en de vraag of WebRTC het echte uitgaande IP-adres lekt. In scenario’s met meerdere accounts kan deze groep de grootste gevolgen hebben. Zodra het echte uitgaande adres zichtbaar wordt, verliest een groot deel van de eerdere omgevingsisolatie zijn waarde.
Wat gratis tools kunnen controleren
Gratis pagina’s kunnen doorgaans de afzonderlijke waarden uit alle drie de groepen tonen. Algemene testpagina’s geven vaak meer dan tien dimensies tegelijk weer en tonen daarnaast een indicatie zoals de geloofwaardigheid van de fingerprint. Gespecialiseerde pagina’s zijn geschikt om één onderdeel diepgaand te bekijken, bijvoorbeeld de GPU- en renderparameters die via WebGL zichtbaar zijn. Netwerkgerichte pagina’s zetten IP-herkomst, proxystatus, WebRTC-lekken en de overeenkomst tussen tijdzone en regio naast elkaar.
Voor het meeste dagelijks gebruik dekken deze soorten gratis pagina’s de belangrijkste dimensies al voldoende af.
Wat gratis tools niet kunnen vertellen
Er zijn drie zaken waarop een testpagina geen antwoord kan geven.
Ten eerste de relatie tussen omgevingen. Eén pagina ziet alleen de browser die op dat moment wordt getest. Zij weet niet of twee omgevingen dezelfde parameters gebruiken of overlappende fingerprints hebben. Dat kun je alleen vaststellen door resultaten van meerdere omgevingen met elkaar te vergelijken.
Ten tweede de beoordelingscriteria van het platform. De score op de pagina wordt door de testaanbieder zelf berekend en is niet hetzelfde als de interne risicodrempels van een platform. Een hoge of lage score en de vraag of je daadwerkelijk wordt herkend, zijn twee verschillende zaken.
Ten derde de stabiliteit op lange termijn. Een testpagina geeft alleen een momentopname van deze sessie. Om te weten of parameters de volgende keer veranderen of na een apparaatwissel verschuiven, moet je zelf een baseline vastleggen en latere resultaten daarmee vergelijken.
Zie de score niet als een rapportcijfer
Veel mensen behandelen de testscore als een examencijfer en blijven aanpassen om hem zo hoog mogelijk te krijgen. Daarmee ligt de prioriteit verkeerd.
De score geeft aan of de combinatie van parameters lijkt op die van een echt apparaat en of de waarden onderling consistent zijn. Het doel is tegenstrijdigheden te vinden, niet om een veiligheidsniveau toe te kennen. Een hoge score neemt tegenstrijdige parameters niet weg. Een middelmatige score hoeft meestal niet aangepast te worden als alles onderling klopt. Meldt slechts één tool een afwijking, houd dan eerst rekening met verschillen in databronnen voordat je de omgeving wijzigt.
De echte beoordelingsbasis is altijd de onderlinge consistentie van de parameters, niet één getal.
Zo doe je kruisvalidatie
Twee of drie vaste tools zijn genoeg. Hun databronnen en aandachtspunten verschillen, waardoor ze elkaar aanvullen. Leg na het configureren van een omgeving één keer de resultaten vast als baseline. Controleer later alleen opnieuw wanneer er bij een account een afwijking optreedt en vergelijk welke waarden zijn veranderd.
Let vooral op twee overeenkomsten: het toegangs-IP moet gelijk zijn aan het IP dat WebRTC laat zien, en de tijdzone moet overeenkomen met de regio van het IP. Problemen op deze twee punten zijn veel ernstiger dan een paar punten verlies in een score.
Blijf bij een afwijking niet steken in de algemene conclusie, maar open de details. Komt de talenlijst niet overeen met de IP-regio, of past de GPU-informatie niet bij de systeemidentiteit? Pas nadat de concrete tegenstrijdigheid is gevonden, heeft corrigeren zin.
Tools vinden problemen, maar lossen ze niet op
Een testpagina kan aangeven waar iets niet klopt, maar kan de omgeving zelf niet veranderen. Voor onderlinge consistentie moet de omgevingslaag onafhankelijke configuratie ondersteunen: elke omgeving moet eigen fingerprintparameters hebben zonder duplicatie; onderdelen zoals tijdzone en taal moeten voor de doelmarkt instelbaar zijn; en parameters moeten stabiel blijven in plaats van bij elke opening te veranderen.
De fingerprintomgevingsfuncties van PurpleMark ondersteunen onafhankelijke configuratie en stabiele opslag van fingerprintparameters per omgeving. In combinatie met kruisvalidatie via testtools wordt de beoordeling van een omgeving zo een controleerbaar proces in plaats van een kwestie van gevoel.
Veelgestelde vragen
Kost een fingerprinttest geld? De gangbare gratis pagina’s dekken de belangrijkste dimensies al af en zijn voldoende voor dagelijks gebruik.
Hoe vaak moet je testen? Eén keer bij het aanmaken van een nieuwe omgeving, en daarna tijdens normaal gebruik alleen opnieuw als een account een afwijking vertoont. Dagelijks testen is niet nodig.
Betekent een normale testuitslag dat het account veilig is? De test geeft de toestand van de omgeving weer. Accountveiligheid hangt ook af van de vraag of het gebruiksgedrag aan de platformregels voldoet; de omgeving is dus slechts één noodzakelijke voorwaarde.
