ウェブフィンガープリンティングは思っていたよりも悪化している (2023)

まだまだ結構あると思うよ。フォントサイズ、地域設定（言語とか）、ソフトウェアのバージョン、ブラウザの拡張機能、広告ブロッカーとか…

ブラウザのバージョンにはばらつきがあるよね。リリースが時間をかけてクライアントに展開されるし、ユーザーはすぐにブラウザを再起動しないから。FingerprintJSが使うすべてのシグナルは知らないけど、明らかにユーザーエージェント文字列（正確なバージョンが含まれてる）に大きく依存してる。著者がTorのUAランダマイザーでそれを偽装できたことからもわかるよ。ちなみに、Chromeがユーザーエージェントの変更やフィンガープリンティング抵抗を許可しないっていうのは間違い。ここでできるよ: https://developer.chrome.com/docs/devtools/device-mode/overr... 便利な拡張機能もあるし。記事は広告からのサードパーティクッキー漏洩についても間違ってるけど、10年前にはクッキーレスになってセッション識別子がプロトコルから完全に消えた前に、いくつかのケースでセッションIDを嗅ぎ取ることができた。ただし、広告主はキャンペーンや分析を詳細にパラメータ化して、内部ユーザーIDに人口統計をリンクさせることができるけど、ポリシーに反しても目立たないのは簡単だよね。それに、あまりにも多くのAndroidアプリで位置情報の漏洩があるし、プライバシーに関してGoogleを完全に擁護するつもりはないけど、著者が偏見に基づいていくつかの仮定をしたのは明らかだよ。質問に戻るけど、フィンガープリンティングの一部として使える他の要素もあるよ。インストールされているフォントは、どのアプリケーションがインストールされているかの代理になる。キャンバス上に描画されたテキストの端にあるアーティファクトは、どのグラフィックチップとドライバーがインストールされているかを示すことができて、同じGPUモデルやドライバーのバージョン内でも違いが出ることがある。タッチトラッキングは、左手でスワイプしたか右手でスワイプしたかを判断できる。タイミングシグナルはCPUの仕様を示したり、VMにいるかVPNの背後にいるかをほのめかすこともできる。もっとあるけど、大抵はJSからアクセスできて、実際にはほとんどがユーザーエージェント文字列よりも信頼性が高いよ。

あまりうまくいかないね。特にiPhoneの場合、SKUが少なくて、アップデートが積極的に行われるから。

でも、これを取り締まるのはほぼ不可能な気がする。

もっと度胸のある、頭の良い規制当局が必要だね。このプライバシーの芝居は、見るのが辛くなってきた。

それか…GDPRを読んで、「クッキーダイアログ」はクッキーについてじゃなかったって気づくのもいいかもね。https://news.ycombinator.com/item?id=44670345

これは法律の問題じゃなくて、技術的な問題だね。解決策は、ブラウザがユーザーに送信される情報を制限する機能を提供することだと思う。ほとんどのウェブサイトが、俺のOSやCPUの数、画面サイズやウィンドウサイズ、他のフィンガープリンティングの指標を知る必要なんてないよ。

それは違法にすべきだけど、技術的な防止策も必要だよね。インターネットはグローバルだし、規制するにはあまりにも多くの法域を通るから。さらに、フィンガープリンティング技術は犯罪組織や情報機関のために開発されるだろうし。

完全に違法にすることはできないから、個人的にはフィンガープリンティングスクリプトが悪用するAPIを削除したり制限したりする方がいいと思う。ブラウザをハイパーテキストビューワーに戻そうぜ！

インターネットは戦場だね。オンラインでの行動に対して作り上げたルールを要求するのは、戦闘中に敵に平和を訴えるのと同じくらい無意味だよ。もし心的外傷を受けてるなら、ヘルメットをかぶってね。