انگشت‌نگاری مرورگر: جانشین نامرئی و مهارناپذیر کوکی‌ها

سال‌هاست که بحث دربارهٔ حذف کوکی‌های شخص ثالث (Third-Party Cookies) داغ است؛ از بنرهای رضایت اتحادیه اروپا گرفته تا وعده‌های پیاپی Google برای پایان‌دادن به آنها در Chrome. اما واقعیت این است که صنعت تبلیغات مدام در حال تکامل است و جایگزین بسیار مؤثرتری یافته است: انگشت‌نگاری مرورگر (Device Fingerprinting).

انگشت‌نگاری چگونه کار می‌کند؟

وقتی صفحه‌ای را در وب باز می‌کنید، سرور فقط فایل‌های HTML و اسکریپت‌ها را تحویل نمی‌دهد، بلکه کدهایی اجرا می‌شوند که مشخصات محیط سیستم شما را می‌سنجند. این اطلاعات از دو منبع استخراج می‌شوند:

1. داده‌های شبکه: مواردی مانند آدرس IP و هدرهای HTTP (مثل User-Agent و Accept-Language). این داده‌ها شکننده‌اند؛ زیرا کاربر می‌تواند با VPN آدرس IP خود را عوض کند.
2. محیط اجرای کد در سیستم: اسکریپت‌های جاوااسکریپت می‌توانند به پارامترهای پایدار سخت‌افزاری بدون نیاز به هیچ مجوزی دسترسی داشته باشند: نوع و درایور کارت گرافیک (GPU)، پردازنده (CPU) و تعداد رشته‌های آن، وضوح و نرخ نوسازی نمایشگر، قلم‌های نصب‌شده روی سیستم، و تنظیمات زبان و منطقه زمانی.

جادوی آنتروپی اطلاعات (Information Entropy)

میلیون‌ها نفر از جدیدترین نسخهٔ Chrome استفاده می‌کنند یا لپ‌تاپ‌هایی با تراشهٔ Apple M4 دارند؛ بنابراین هر ویژگی به‌تنهایی برای ردیابی کافی نیست. اما طبق نظریه اطلاعات، ترکیب این ویژگی‌ها به‌شدت قدرت تفکیک را افزایش می‌دهد.

اگر در یک بازی حدس چهره، یک پاسخ جامعهٔ آماری را نصف کند، «یک بیت» اطلاعات داده است. جمع‌آوری ۱۰ تا ۲۰ ویژگیِ به‌ظاهر ساده در کنار هم، آنتروپی داده را به نقطه‌ای می‌رساند که شما را از میان صدها هزار کاربر متمایز می‌کند. ردیاب نیازی ندارد شناسهٔ شما در کل جهان منحصربه‌فرد باشد؛ کافی است در میان نمونهٔ آماری مخاطبان، بی‌همتا بمانید.

ترفندهای فنی برای ساخت شناسه

اسکریپت‌ها برای استخراج مقادیر یکتا از APIهای مرورگر کمک می‌گیرند:

• OfflineAudioContext: سیگنال صوتی کوتاهی را بدون پخش رندر می‌کند. تفاوت‌های اعشاری در موتور صوتی مرورگر و پردازنده، عددی یکتا برمی‌گرداند.
• WebGL و Canvas: رندر کردن چند شکل یا متن کوچک سه‌بعدی و دوبعدی. نحوه رندر فونت، لبه‌گیری (Anti-aliasing) و خروجی رنگ در هر کارت گرافیک و سیستم‌عامل متفاوت است.
• Intl: تشخیص منطقهٔ زمانی، سیستم عددنویسی و تقویم. جالب است بدانید که تغییر IP از طریق VPN منطقهٔ زمانی سیستم شما را تغییر نمی‌دهد.
• navigator: دریافت اطلاعاتی مثل تعداد هسته‌های پردازنده، حافظهٔ رم دستگاه و زبان‌های سیستم.

آیا راهی برای محافظت وجود دارد؟

استفاده از Chrome عملاً به معنای راه رفتن با یک شناسنامه روی پیشانی است. افزونه‌های تغییر یا مسدودسازی اسکریپت‌ها اگرچه تلاش می‌کنند این APIها را مخدوش کنند، اما استفاده از آن‌ها خود باعث منحصربه‌فردتر شدن اثر شما در میان عموم کاربران می‌شود.

برای فرار از انگشت‌نگاری باید محافظت را در سطح هسته مرورگر اعمال کرد:

• ایجاد نویز (Farbling): روشی که مرورگر Brave در پیش گرفته و با تزریق مقادیر تصادفی در محاسبات، شناسهٔ هر نشست را ناپایدار می‌کند.
• یکسان‌سازی همهٔ کاربران: روشی که مرورگر Tor و Mullvad Browser اجرا می‌کنند تا تمام خروجی‌های سیستم شبیه به یکدیگر به‌نظر برسند.