10 ноября Mozilla опубликовала результаты исследования защиты Firefox от цифровых отпечатков — способа узнавать браузер на разных сайтах даже без cookie-файлов. После ограничения нескольких характеристик доля браузеров с уникальным отпечатком в оценке исследователей снизилась с 75% до 46%.
Исследование основано на телеметрии почти 25 млн пользователей стабильных выпусков Firefox. Авторы моделировали сбор параметров, используемых системами Fingerprint Pro, Signifyd и Akamai, и проверяли, какие сочетания позволяют выделить отдельный браузер среди остальных.
Цифровой отпечаток складывается из доступных сайту сведений: размеров экрана, установленных шрифтов, графического оборудования, числа ядер процессора и особенностей обработки изображений, звука и математических операций. Каждый параметр по отдельности малоинформативен, но их сочетание может оставаться узнаваемым между посещениями сайтов и в приватном режиме.
Читайте также
Firefox уменьшает различия между устройствами там, где это не должно мешать работе сайтов. Например, браузер ограничивает данные API о разрешении экрана, чтобы скрыть размер и положение системной панели или дока. Вместо точного числа логических процессоров он может сообщать сайту одно из типовых значений — 4 или 8. На Android разработчики также сделали более однородными результаты отрисовки изображений, обработки звука и математических вычислений.
Случайные отклонения для некоторых сигналов не вошли в оценку. Показатели 75% и 46% описывают уникальность отпечатков в модели, а не всю слежку в интернете.
Защита внедрялась поэтапно. На странице исследования основной набор назван частью Firefox 143, а в блоге безопасности Mozilla указано, что самые новые из оценённых механизмов появились в Firefox 145. Это не новый браузерный режим, представленный 10 ноября, а публикация измеримых результатов уже внедрявшейся защиты.
Часть ограничений, включая сокрытие параметров системной панели, действует по умолчанию. Более строгие механизмы Mozilla сначала включает в приватных окнах и в режиме Strict системы Enhanced Tracking Protection. Его можно выбрать для всех окон в настройках защиты от отслеживания, но отдельные сайты могут работать некорректно.
Защита не исключает цифровые отпечатки полностью. На сайте исследования доступен интерактивный тест, сравнивающий браузер пользователя с измеренной выборкой.