Что такое отпечаток пальца Canvas? Как это работает, риски конфиденциальности и защита
Вы очищаете файлы cookie и открываете личное окно, однако веб-сайт все равно может сделать вывод, что два посещения были совершены с одного и того же устройства. Обычно это не зависит от одного скрытого идентификатора. Вместо этого сайт сочетает в себе множество характеристик, предоставляемых браузером. Снятие отпечатков пальцев Canvas — один из таких сигналов.
В этом руководстве объясняется, как создается отпечаток пальца Canvas, чем он отличается от файлов cookie, почему он может поддерживать как безопасность, так и отслеживание, а также как снизить риски корреляции, не жертвуя при этом стабильностью браузера.
1. Что такое отпечаток Canvas?
Canvas — это функция рисования HTML5. JavaScript может попросить браузер нарисовать текст, фигуры, градиенты или изображения, а затем прочитать визуализированный результат.
Одни и те же инструкции рисования могут вызывать небольшие различия на уровне пикселей на разных устройствах. На результат могут влиять операционная система, версия браузера, установленные шрифты, GPU, графический драйвер, библиотеки рендеринга и поведение сглаживания. Сайт может преобразовать результат в данные и вычислить хэш, который станет многоразовым сигналом Canvas.
Одно важное отличие: значение Canvas само по себе не гарантирует однозначной идентификации человека. Идентификация становится более эффективной, когда Canvas сочетается с User-Agent, WebGL, шрифтами, свойствами экрана, языком, часовым поясом, адресом AudioContext, IP и другими наблюдаемыми сигналами.
2. Как генерируется отпечаток пальца Canvas?
Типичный процесс сбора состоит из четырех этапов:
- На странице создается скрытый или очень маленький элемент Canvas.
- Скрипт рисует содержимое с использованием заранее определенных шрифтов, цветов, прозрачности и форм.
- Браузер отображает его через системный шрифт и графический стек.
- Скрипт считывает пиксели или экспортированное изображение и вычисляет хэш.
Общие источники вариаций включают в себя:
- рендеринг шрифтов операционной системы;
- движок и версия браузера;
- установленные шрифты и резервный порядок;
- GPU, графический драйвер и аппаратное ускорение;
- управление цветом, масштабирование дисплея и сглаживание;
- комбинированное поведение Canvas, WebGL и связанных графических API.
Этот процесс может происходить быстро в фоновом режиме. Пользователь может не увидеть Canvas или не получить запрос на разрешение.
3. Отпечатки пальцев Canvas и файлы cookie
| Сравнение | Cookies | Canvas отпечаток пальца |
|---|---|---|
| Источник | Данные, записываемые сайтом в браузер | Характеристики рендеринга браузера и устройства |
| Хранится локально | Да | Обычно не требуется постоянного локального значения |
| Могут ли пользователи очистить его? | Да | Не так, как файлы cookie |
| Частный просмотр | Изолирован или удален после сеанса | Возможности рендеринга остаются доступными |
| Стабильность | Зависит от срока действия cookie | Зависит от оборудования, программного обеспечения и стратегии защиты |
Файл cookie похож на метку, хранящуюся на веб-сайте. Отпечаток пальца Canvas ближе к измерению, выполняемому во время каждого посещения. Таким образом, очистка данных просмотра не меняет напрямую графическое поведение устройства.
4. Всегда ли снятие отпечатков пальцев Canvas является вредоносным?
Нет. Снятие отпечатков пальцев браузера может использоваться для:
- выявлять ботов, подтасовку учетных данных и автоматическое мошенничество;
- обнаруживать неожиданные изменения в устройстве входа;
- поддержка оценки рисков и проверки безопасности учетных записей;
- измерять посещения, когда файлы cookie недоступны;
- создавайте профили для разных сеансов или веб-сайтов.
Проблема конфиденциальности не ограничивается тем, происходит ли сбор. Это также зависит от того, проинформированы ли пользователи, необходим ли объем, как долго хранятся данные и объединяются ли они с идентификационными данными или используются для межсайтового отслеживания.
5. Почему приватный просмотр не останавливает его?
Приватный просмотр в основном уменьшает локальные следы. Он удаляет историю, файлы cookie и временные данные сайта после завершения сеанса. Веб-сайтам по-прежнему требуется JavaScript, шрифты и графические API для работы, поэтому Canvas, WebGL, размеры экрана и некоторые характеристики системы могут оставаться видимыми.
VPN или прокси изменяет выход из сети, но не меняет автоматически рендеринг Canvas. Если IP изменяется, а язык, часовой пояс, местоположение, значения Canvas и WebGL противоречат друг другу, несоответствие само по себе может стать сигналом риска.
6. Как отдельные лица могут уменьшить отслеживание Canvas
1. Включите встроенную защиту от отпечатков пальцев.
Начните с защиты от отслеживания или снятия отпечатков пальцев, встроенной в ваш браузер. Некоторые браузеры ограничивают использование сценариев высокого риска или возвращают измененный результат, когда страница считывает данные Canvas.
2. Избегайте ненужных расширений и редких настроек.
Большая коллекция необычных расширений, шрифтов или экстремальных настроек может сделать вашу комбинацию браузеров более уникальной. Конфиденциальность – это не только сокрытие большего количества данных; речь также идет о том, чтобы избежать необычно уникальной конфигурации.
3. Ограничьте использование ненадежных сторонних скриптов
Блокировка контента и более строгие разрешения для сайтов могут сократить выполнение стороннего кода отслеживания. Агрессивная блокировка также может привести к нарушению CAPTCHA, редакторов, диаграмм или страниц оплаты, поэтому тщательно проверяйте совместимость.
4. Понимание ограничений инструментов IP
Прокси-серверы и VPN могут скрыть исходный выход из сети, но они не являются инструментами защиты Canvas. Местоположение сети, язык, часовой пояс и конфигурация браузера должны оставаться достаточно согласованными.
7. Командам с несколькими аккаунтами нужна изоляция, а не постоянная рандомизация
Для групп электронной коммерции, рекламы, работы в социальных сетях и тестирования цель обычно не состоит в том, чтобы каждый раз одна и та же учетная запись выглядела как совершенно новое устройство. Более безопасная эксплуатационная модель заключается в следующем:
- использовать отдельную среду для каждой учетной записи;
- поддерживать относительно стабильную среду одной учетной записи с течением времени;
- изолировать файлы cookie, кэш, локальное хранилище и данные браузера;
- согласовать регион прокси с настройками языка, часового пояса и местоположения;
- поддерживать внутреннюю согласованность Canvas, WebGL, AudioContext и связанных сигналов.
Если среда резко меняется при каждом запуске, платформа может интерпретировать это как частое переключение устройств. Стабильность и последовательность часто более ценны, чем максимизация случайных изменений.
##8. Настройка защиты Canvas в PurpleMark
PurpleMark сохраняет Canvas и связанные характеристики браузера в одной и той же конфигурации среды многократного использования.
Шаг 1. Создайте изолированную среду браузера
Создайте новую среду в PurpleMark, присвойте ей четкое имя для учетной записи и привяжите соответствующий прокси. Полезное долгосрочное правило — одна стабильная среда для каждой учетной записи.
Шаг 2. Проверьте согласованность базового отпечатка пальца
Просмотрите настройки User-Agent, операционной системы, языка, языка интерфейса, часового пояса, местоположения, разрешения и шрифта. При использовании прокси-сервера эти значения обычно должны быть совместимы с регионом прокси-сервера.
Шаг 3. Настройте аппаратный шум
В разделе «Аппаратный шум» предусмотрены отдельные элементы управления для:
- Canvas;
- ВебГЛИмидж;
- AudioContext;
- ClientRects;
- медиа-устройства;
- Речевые голоса.
Когда шум Canvas включен, среда использует сохраненные параметры шума для обработки реального сигнала Canvas. После сохранения среды сохраняйте стабильность конфигурации вместо многократного обновления значений шума во время повседневной работы одной и той же учетной записи.
Шаг 4. Сохраните и проверьте согласованность.
После запуска среды используйте тестовую страницу доверенной информации браузера, чтобы проверить поведение Canvas и WebGL. Целью не является «абсолютная анонимность». Убедитесь, что отдельные среды различимы, что одна и та же среда остается стабильной при всех запусках и что ее настройки явно не противоречат друг другу.
Вы можете управлять средами из [веб-приложения PurpleMark] (https://app.purplemark.net). Для возможностей только настольного компьютера, включая запуск локального браузера отпечатков пальцев, требуется клиент PurpleMark.
9. Часто задаваемые вопросы
Вопрос 1. Изменяет ли удаление файлов cookie отпечаток Canvas?
Не напрямую. Cookies — сохраненные данные; Характеристики Canvas основаны на текущем процессе рендеринга и программно-аппаратном комплексе.
Q2: Изменяет ли изменение адреса IP Canvas?
Обычно нет. IP — это сетевой сигнал, а Canvas — сигнал рендеринга графики.
Вопрос 3. Достаточно ли другого хеша Canvas, чтобы сохранить конфиденциальность?
Нет. Сайты обычно объединяют несколько сигналов. Изменение только Canvas не устраняет противоречивые данные о языке, часовом поясе, WebGL, шрифте или поведении.
Q4: Следует ли блокировать Canvas или изменять его с помощью шума?
Это зависит от варианта использования. Полная блокировка Canvas может привести к нарушению законных функций сайта и сама по себе может быть необычной. Контролируемый шум направлен на баланс конфиденциальности и совместимости.
Q5: Может ли PurpleMark гарантировать, что учетные записи никогда не будут связаны?
Ни один инструмент не может этого гарантировать. Изоляция среды и контроль отпечатков пальцев снижают риски технической корреляции, в то время как данные учетной записи, платежные данные, поведение и правила платформы остаются одинаково важными.
10. Заключение
Отпечаток Canvas — это не файл, который можно просто удалить. Это измерение того, как браузер отображает контент. Отдельные пользователи должны использовать надежные средства контроля конфиденциальности в браузере, а команды, работающие с несколькими учетными записями, должны строить операционную стратегию на основе изолированных, стабильных и внутренне согласованных сред.
PurpleMark обеспечивает изоляцию окружающей среды и аппаратное управление шумом для Canvas и связанных с ним сигналов. Используйте эти возможности только для законной защиты конфиденциальности, авторизованного тестирования и ведения бизнеса, соответствующего требованиям, и всегда соблюдайте условия платформ, к которым вы обращаетесь.
Дальнейшее чтение:
- [W3C: уменьшение отпечатков пальцев браузера в веб-спецификациях] (https://www.w3.org/TR/fingerprinting-guidance/)
- [MDN: Конфиденциальность в Интернете] (https://developer.mozilla.org/en-US/docs/Web/Privacy)
- [Mozilla: защита от отпечатков пальцев] (https://support.mozilla.org/en-US/kb/resist-fingerprinting)