Firefox: bastano 8 caratteristiche per riconoscerti senza cookie

Un sito Web può riconoscere un utente anche senza cookie, autenticazione o identificativi salvati sul dispositivo: bastano alcune informazioni sul browser, sull’hardware e sul sistema operativo. È il principio del browser fingerprinting, una tecnica di tracciamento che Mozilla ha analizzato attraverso uno studio condotto su quasi 25 milioni di utenti Firefox.

Il problema è noto da oltre 15 anni. Con la progressiva introduzione di protezioni contro i cookie di terze parti, il fingerprinting ha acquisito maggiore importanza. Anziché memorizzare un identificativo, gli script raccolgono caratteristiche tecniche del dispositivo e le combinano per riconoscerlo nelle visite successive.

La ricerca “Large-Scale Measurement and Real-World Mitigation of Web Browser Fingerprinting in the Wild“, firmata da Mozilla, Università di Toronto e UC San Diego, dimostra che poche proprietà possono rendere un browser riconoscibile. Soprattutto, documenta l’efficacia delle contromisure introdotte in Firefox 143: in una delle simulazioni, la percentuale di browser con impronta univoca scende dal 75,7% al 46,8%.

Come funziona il fingerprinting, senza utilizzare cookie

JavaScript permette di interrogare numerose proprietà dell’ambiente di esecuzione: l’API navigator.hardwareConcurrency, per esempio, restituisce il numero di processori logici resi disponibili dal browser; altre API espongono dimensioni dello schermo, lingua, fuso orario e funzionalità supportate.

Il Canvas fingerprinting sfrutta invece le differenze nella rappresentazione di testi e immagini: uno script disegna elementi grafici, ne legge i pixel e calcola un hash. Font, GPU, driver e librerie grafiche possono produrre risultati differenti. Tecniche analoghe sfruttano WebGL e Web Audio.

Come abbiamo spiegato nell’articolo dedicato al riconoscimento degli utenti tramite fingerprinting, cancellare i cookie o utilizzare la navigazione privata (o “in incognito”) non impedisce automaticamente di identificare il browser.

Mozilla scopre che bastano 8 caratteristiche per identificare molti browser

I ricercatori hanno analizzato i dati raccolti tramite una specifica funzione di telemetria di Firefox, ricostruendo il comportamento di 3 servizi commerciali: Fingerprint Pro, Signifyd e Akamai.

Il risultato più interessante riguarda il numero di parametri realmente determinanti. Nel modello Fingerprint Pro, che raccoglie oltre 50 caratteristiche, 8 misurazioni sono sufficienti a rendere univoco l’80% dei browser che il servizio riesce complessivamente a identificare in modo univoco. Per Signifyd bastano 9 misurazioni, nonostante il sistema ne raccolga più di 80.

Lo studio sottolinea che aumentare notevolmente il numero delle informazioni raccolte non produce sempre risultati migliori: alcune proprietà contribuiscono molto più di altre alla riconoscibilità del dispositivo; il loro peso dipende anche dal sistema operativo.

Un esempio concreto riguarda la risoluzione disponibile dello schermo: uniformare il valore restituito dalle API riduce di 25,3 punti percentuali la quota cumulativa di impronte univoche su macOS, mentre sulle altre 3 piattaforme esaminate l’effetto oscilla tra zero e 3 punti. Una difesa efficace su un sistema può quindi risultare marginale su un altro.

Firefox 143 riduce il fingerprinting: i numeri dello studio

Mozilla ha utilizzato i risultati per sviluppare protezioni capaci di limitare le informazioni utilizzabili dagli script, senza compromettere il funzionamento dei siti Web.

Le simulazioni mostrano riduzioni differenti a seconda del servizio considerato. In particolare, la quota di browser univoci si abbassa di molto, per ciascun servizio preso in esame:

• Fingerprint Pro: dal 75,7% al 46,8%;
• Signifyd dal 60,9% al 38,5%;
• Akamai dal 18,2% al 9,0%.

Attenzione però al significato dei numeri: si tratta di modelli ricostruiti dai ricercatori sulla base del comportamento dei sistemi commerciali, non di una misurazione diretta di tutte le attività di tracciamento effettuate sul Web. Inoltre, i risultati riguardano la popolazione Firefox esaminata e non possono essere automaticamente estesi a Chrome, Edge o Safari.

Lo studio evidenzia anche l’importanza dei gruppi di anonimato, ossia degli insiemi di utenti che condividono la stessa impronta. Due protezioni possono ridurre in misura simile i fingerprint univoci, ma produrre risultati molto diversi sulla dimensione dei gruppi.

Perché bloccare tutte le API non risolverebbe il problema

Le difese più aggressive possono interferire con applicazioni Web perfettamente legittime: alterare il fuso orario può compromettere calendari e appuntamenti; impedire la lettura dei risultati grafici può creare problemi agli editor di immagini; modificare la precisione degli orologi può influire sui giochi HTML5.

Mozilla propone quindi un approccio basato sulla combinazione di standardizzazione e randomizzazione: la prima rende più uniformi i valori restituiti dai browser, mentre la seconda introduce variazioni controllate per ostacolare la costruzione di identificativi stabili.

Il rovescio della medaglia è che, ad esempio, la standardizzazione può lasciare riconoscibili utenti con configurazioni poco comuni; la randomizzazione può essere rilevata e aggirata. Rimane inoltre fuori dall’analisi il tracciamento basato sull’indirizzo IP: le protezioni contro il fingerprinting non sostituiscono gli altri strumenti di tutela della privacy.

Come verificare quanto il proprio browser sia riconoscibile

Mozilla mette a disposizione un test interattivo gratuito che confronta le caratteristiche del browser utilizzato con quelle rilevate nello studio. Per ogni parametro mostra quanto sia frequente nella popolazione analizzata e tra gli utenti dello stesso sistema operativo.

Il confronto avviene in locale: il test non trasmette né memorizza i risultati individuali. Tuttavia, non fornisce una probabilità assoluta di tracciamento.

Chi utilizza Firefox può inoltre approfondire le protezioni più rigorose attraverso la preferenza privacy.resistFingerprinting in about:config, tenendo presente che la sua attivazione può compromettere alcune funzionalità Web. Ne abbiamo discusso anni fa anche analizzando le limitazioni delle precedenti difese anti-fingerprinting.