ブラウザの「指紋」でユーザーを識別する仕組みを体験できるサイト、実際に回線を切り替えたりシークレットモードでも同じニックネームに

ウェブサイトを開くだけでブラウザの特徴を読み取り、ユーザーを識別する「フィンガープリンティング」という技術があります。Cookieを削除したりVPNに接続したりしても同じユーザーとして認識される可能性があるという仕組みを、実際に体験できるサイト「Fingerprints are the new cookies」が公開されています。

Fingerprints are the new cookies
https://royfish.dev/fingerprints-are-the-new-cookies

一般的にウェブサイトはCookieと呼ばれる小さなデータをブラウザに保存することで、ログイン状態を維持したり過去にアクセスしたユーザーを識別したりしています。Cookieは広告のための追跡にも使われており、プライバシー保護の観点からCookieを制限するブラウザが増えています。

「フィンガープリンティング」は、たとえCookieが制限されている環境でもブラウザの種類やOSなどの情報を指紋のように扱うことでユーザーを追跡する技術です。

フィンガープリンティングの仕組みを分かりやすく示すために作られたのが「Fingerprints are the new cookies」です。サイトにアクセスすると「From now on I'll call you:(今後あなたをこう呼びます)」というメッセージとともに、ブラウザの特徴をもとにしたニックネームが自動的に表示されます。今回は「Fearless Fox(恐れないキツネ)」というニックネームでした。

試しにページを再読み込みしたりCookieを削除したり、VPNに接続してIPアドレスを変更したり、シークレットモードに切り替えたりしても同じニックネームが表示されました。一方で別のスマートフォンやPCからアクセスすると異なるニックネームが表示され、回線が変わってもPCを特定できていることが分かります。

「Fingerprints are the new cookies」では、グラフィック処理を担当するGPUの情報や画像の描画結果、音声処理のわずかな違い、CPUのコア数、言語設定、タイムゾーンなどを調べてユーザーを識別しているとのこと。

同じ画像を描画する場合でもGPUやOSなどの違いによって細かな差が生じるほか、ブラウザ内部で音声データを生成させるとCPUやブラウザの処理方法に応じて計算結果に違いが現れるため、こうした特徴を組み合わせてそれぞれのPCを区別しているそう。サイトでは収集した情報から「SHA-256」という方式でハッシュ値と呼ばれるデータを計算し、ニックネームを決定しています。

ブラウザの特徴は一つ一つでは大きな違いがなくても、複数の特徴を組み合わせることでユーザーを絞り込む手掛かりになります。特に珍しい特徴ほど識別に役立ち、例えば128人のうち1人だけに当てはまる特徴があった場合、当てはまるという回答から得られる情報量は7ビットになります。一方で残り127人に当てはまるという回答から得られる情報量は約0.011ビットにとどまります。つまり、ほかの人にはあまり見られない特徴を持っているほど識別されやすくなるというわけです。

こうしたブラウザの特徴を利用した識別を防ぐ方法として、サイトの作者はプライバシー保護を重視したブラウザの利用を挙げています。例えばBraveは収集される情報に細かな変化を加え、Tor BrowserやMullvad Browserは利用者のブラウザの特徴をできるだけ同じにすることで識別を難しくしています。また、JavaScriptを無効にすると今回のデモで使用されている識別処理は動作しなくなります。ただし、通信時に得られる情報を利用した識別手法は残ります。

なお、作者は今回のデモについて「端末から取得した少数の情報を単純に組み合わせているだけ」と説明し、「実際のフィンガープリンティング技術はさらに複雑で一部の情報が変わってもユーザーを識別し続けられる場合もある」と述べています。