Cover Your Tracks: что не доказывает оценка уникальности

Запустите Cover Your Tracks от EFF — и получите одну тревожную на вид строку: ваш браузер уникален среди нескольких тысяч недавно протестированных. Легко прочитать это как оценку вашей приватности в целом — «сдал» или «не сдал». Но это не так. Эта цифра отвечает ровно на один вопрос: насколько узнаваема ваша комбинация браузерных сигналов. А это гораздо более узкий вопрос, чем «безопасен ли я», «врёт ли мой браузер» или «защищён ли я от слежки» в общем смысле. Читать цифру уникальности как ответ на любой из этих более широких вопросов — самая частая ошибка при интерпретации результата.

Ключевые выводы

• Цифра «1 из X» измеряет уникальность — сколько других протестированных браузеров совпадают с вашей точной комбинацией сигналов, — а не безопасность, не честность и не общий уровень защиты.
• Рядом с этой цифрой Cover Your Tracks показывает и другие результаты, но это отдельные тесты блокировки трекеров по принципу «пройден / не пройден»; в расчёт уникальности они не входят.
• Цифра «1 из X» считается относительно недавней выборки самого инструмента, а не всего интернета; в основе лежит информационно-теоретическая энтропия в битах, и биты примерно независимых сигналов складываются.
• Редкий отпечаток — не то же самое, что подделанный, а распространённый отпечаток — не то же самое, что приватный: уникальность и согласованность — это совершенно разные оси измерения.
• Расширения против фингерпринтинга могут ухудшить оценку уникальности вместо того, чтобы её улучшить, если само расширение становится тем редким, отличительным сигналом.
• Инструмент видит только то, что JavaScript способен прочитать внутри вашего браузера — у него нет способа сопоставить это с IP-адресом, с которого реально пришло соединение.

Что на самом деле значит «1 из X»

Cover Your Tracks (преемник оригинального исследования EFF Panopticlick) собирает набор доступных браузеру сигналов — строку User-Agent, установленные шрифты, вывод Canvas и WebGL, геометрию экрана — и проверяет, сколько других недавних посетителей сообщили точно такую же комбинацию. Если за последнее время никто больше не совпал с вами, инструмент отмечает ваш отпечаток как уникальный; если совпало несколько сотен человек, он сообщит размер этой группы.

Рядом с этой цифрой на той же странице стоят результаты другого рода, и отделить их от неё — половина дела. Помимо отпечатка, Cover Your Tracks прогоняет тесты блокировки трекеров по принципу «пройден / не пройден»: блокируется ли имитация рекламного трекера, блокируется ли невидимый трекинговый маячок и разблокирует ли ваш браузер домены, обещавшие соблюдать Do Not Track, — плюс состояние «частичной защиты», когда трекеры загружаются, но их куки блокируются. Методику каждого теста EFF описывает у себя. Эти тесты оценивают ваш блокировщик контента; в расчёт «1 из X» они не входят — та цифра считается только по отпечатковым сигналам. Прочтение всей страницы как одной общей оценки — с этого и начинается путаница.

В основе цифры уникальности лежит энтропия в битах: сигнал информативен только тогда, когда он неожидан, а примерно независимые сигналы складываются по количеству бит. Собственный текст EFF об этой математике — хорошее короткое чтение: Введение в теорию информации и приватность. О том, как биты отдельных сигналов складываются в одну цифру и как выглядит комфортный размер множества анонимности, мы рассказываем подробно в статье Энтропия отпечатка браузера и множества анонимности.

Деталь, которая чаще всего сбивает с толку, — это знаменатель. «1 из X» относится к популяции, которую Cover Your Tracks измерил недавно, а не ко всем браузерам на Земле. Люди, которые сами идут проверять свой отпечаток, в среднем куда сильнее озабочены приватностью, чем среднестатистический пользователь интернета, а окно выборки у инструмента конечно. Вашу истинную редкость относительно всего интернета не знает ни один отдельный инструмент — но как относительный сигнал цифра всё равно полезна, и она честна в отношении того, что реально измеряет.

Ошибочное прочтение: редкое — не подозрительное, распространённое — не безопасное

Самое большое заблуждение — сводить уникальность к вердикту о доверии. Это не работает ни в одну, ни в другую сторону.

Полностью стандартный браузер — без расширений, с настройками по умолчанию, со шрифтами, установленными вместе с ОС, — всё равно может работать на редкой топовой видеокарте, с региональной раскладкой клавиатуры или необычным разрешением монитора, и набрать высокую уникальность, оставаясь при этом абсолютно подлинным. В этом браузере ничего не подделано — это просто необычная, но честно сообщённая комбинация обычных значений. Высокая уникальность на Cover Your Tracks — это проблема приватности (вас можно узнавать от визита к визиту), а не признак мошенничества или подделки.

Это совсем другая ось, чем согласованность: совпадают ли сигналы браузера друг с другом и с тем, как ведёт себя настоящая реализация. Детектор лжи в CreepJS создан специально для того, чтобы ловить такие противоречия — например, User-Agent, заявляющий один браузер, рядом с рендер-сигнатурой, которая может принадлежать только другому. Браузер может быть одновременно идеально согласованным и крайне уникальным — или выглядеть совершенно обычным и всё равно проваливать проверку согласованности. Почему тесты отпечатка браузера расходятся в оценках подробнее разбирает это разделение, включая третью категорию — фирменные композитные оценки анонимности от вендоров, которые смешивают уникальность, согласованность и нераскрытую эвристику в одну проприетарную цифру, несравнимую напрямую ни с первой, ни со второй.

Обратная ошибка встречается не реже: считать, что «обычный» результат означает безопасность от слежки. Общий отпечаток убирает лишь один вектор отслеживания — по уникальности. Кукам, состоянию входа и трекингу на уровне аккаунта совершенно всё равно, насколько уникален ваш хэш Canvas, и ничего из этого вообще не отражается в цифре уникальности.

Контринтуитивный результат: расширения могут сделать хуже

Вот момент, который удивляет людей, установивших расширение для приватности в надежде улучшить свою оценку: иногда она становится хуже.

Большинство расширений против фингерпринтинга работают, подделывая или рандомизируя горстку сигналов — фальшивый хэш Canvas, зашумлённый параметр WebGL, заблокированное перечисление шрифтов. Если само наличие такой подделки обнаруживаемо — а зачастую это именно так, ведь конкретное расширение ставит лишь малая часть посетителей, — то «у этого браузера явно модифицирован Canvas API» само становится редким, узнаваемым сигналом. После установки расширения вы вполне можете стать более узнаваемым, а не менее. Наша статья о приватности браузерных расширений разбирает более широкий вопрос доверия к расширениям за пределами фингерпринтинга.

Альтернативный подход — единообразие вместо рандомизации: вместо того чтобы скрывать своё значение, сделать значения всех одинаковыми. Именно на этом построена настройка Firefox privacy.resistFingerprinting, всегда включённая в Tor Browser — подробнее о том, что именно она подделывает и почему нацелена прямо на размер толпы, а не на маскировку отдельного сигнала, читайте в статье resistFingerprinting: как это работает. Это работает, потому что настройкой пользуется большая, согласованно настроенная группа людей — сама толпа и есть защита. За одиночкой с собственной схемой рандомизации никакой толпы нет; именно поэтому два подхода, оба называющие себя защитой от фингерпринтинга, оказываются на противоположных концах одной и той же шкалы уникальности.

Чего оценка не видит: всё, что вне браузера

Каждый сигнал, который читает Cover Your Tracks, приходит изнутри JavaScript-окружения вашего браузера. Это даёт жёсткое структурное ограничение: у инструмента нет способа сравнить то, что заявляет браузер, с тем, что реально наблюдал сервер о соединении.

Intl.DateTimeFormat().resolvedOptions().timeZone сообщает скрипту, какой часовой пояс настроен в вашей ОС, — и ничего о маршруте, по которому прошёл ваш трафик. Браузер вполне может сообщать полностью правдоподобную, внутренне согласованную пару часового пояса и языка, подключаясь через выходной узел VPN на другом континенте, и у теста отпечатка, работающего только внутри браузера, нет пути это заметить. Чтобы это поймать, нужно второе, серверное наблюдение: сравнение IP, с которого реально пришло соединение, с тем, что заявляет браузер. Статья Утечки часового пояса и локали: когда браузер противоречит IP полностью разбирает этот механизм, а проверка VPN и прокси от BrowserInsight построена именно вокруг сетевой половины, которую браузерная оценка сама по себе дать не может.

Это не изъян Cover Your Tracks — это просто выходит за рамки того, что вообще способен наблюдать JavaScript страницы. Важно знать о границе этого инструмента, чтобы хороший результат по уникальности не читался как гарантия того, что со всей остальной вашей конфигурацией тоже всё в порядке.

Как читать результат, не переоценивая его

Результат Cover Your Tracks по-настоящему полезен для того единственного вопроса, на который он отвечает: насколько узнаваема ваша текущая комбинация доступных браузеру сигналов относительно того, что инструмент видел в последнее время. Запустите заодно проверку отпечатка BrowserInsight, чтобы увидеть отдельные сигналы за этой цифрой — Canvas, WebGL, шрифты, свойства navigator — вместо того, чтобы всё сворачивалось в одно число, и совместите это с проверкой VPN и прокси для сетевого сравнения, которое ни один браузерный инструмент сам по себе сделать не может.

Часто задаваемые вопросы

Высокая оценка Cover Your Tracks значит, что мой браузер поддельный или скомпрометирован?

Нет. Это значит, что ваша комбинация сигналов необычна среди браузеров, недавно протестированных инструментом, — это проблема приватности, связанная с узнаваемостью, а не признак подделки или поломки. Полностью подлинный, немодифицированный браузер с необычной комбинацией железа или шрифтов вполне может набрать высокую уникальность.

Если Cover Your Tracks пишет, что мой браузер блокирует трекеры, это исправляет оценку уникальности?

Нет — это отдельные результаты. Тесты блокировки проверяют, как ваш блокировщик обходится с имитацией рекламы, невидимым маячком и доменами, обещавшими соблюдать Do Not Track. Цифра «1 из X» считается только по вашим отпечатковым сигналам. Браузер может пройти все тесты блокировки и всё равно быть крайне уникальным: блокировка запроса к трекеру не меняет того, что ваш Canvas, шрифты и геометрия экрана сообщают странице, которая всё-таки загрузилась.

Почему моя оценка уникальности ухудшилась после установки расширения для приватности?

Потому что подделка или рандомизация от расширения сама может стать редким, обнаруживаемым паттерном, а редкость — это ровно то, что измеряет оценка. Защиты на основе единообразия, вроде resistFingerprinting в Firefox, избегают этой проблемы, заставляя большую популяцию сообщать одинаковые значения, вместо того чтобы делать значения одного браузера отличными от всех остальных.

Могут ли два запуска Cover Your Tracks на одном браузере дать разные цифры?

Да, потому что цифра «1 из X» относится к той популяции, которую инструмент измерил недавно, а эта выборка со временем меняется. Результат отражает вашу редкость относительно конкретной выборки, а не фиксированную универсальную цифру редкости.

Проверяет ли Cover Your Tracks VPN или слежку по IP?

Нет. Инструмент читает только сигналы, доступные JavaScript внутри вашего браузера, и не может видеть IP-адрес, с которого сервер реально наблюдал соединение. Такое сравнение — часового пояса или локали с геолокацией по IP — требует серверного инструмента вроде проверки VPN и прокси.

Рекомендуем почитать

• Энтропия отпечатка браузера и множество анонимности
• Почему тесты отпечатка браузера расходятся в оценках
• CreepJS: как детектор лжи ловит подмену отпечатка
• resistFingerprinting: защита Firefox и Tor от фингерпринтинга
• Угрозы приватности от расширений браузера
• Утечки часового пояса и языка: браузер против вашего IP