Снятие отпечатков пальцев с помощью Canvas — один из методов снятия отпечатков пальцев с помощью браузера для отслеживания пользователей в Интернете , позволяющий веб-сайтам идентифицировать и отслеживать посетителей с помощью элемента HTML5 Canvas вместо файлов cookie браузера или других подобных средств. [1] Метод получил широкое освещение в СМИ в 2014 году [2] [3] [4] [5] после того, как исследователи из Принстонского университета и Университета Католического университета Лёвена описали его в своей статье «Сеть никогда не забывает» . [6]
Отпечатки Canvas работают, используя элемент HTML5 canvas . Как описано Акаром и др. в: [6]
Когда пользователь посещает страницу, скрипт снятия отпечатков сначала рисует текст шрифтом и размером по своему выбору и добавляет фоновые цвета (1). Затем скрипт вызывает метод ToDataURL API Canvas, чтобы получить данные пикселей холста в формате dataURL (2), который по сути является представлением двоичных данных пикселей в кодировке Base64. Наконец, скрипт берет хэш данных пикселей в текстовой кодировке (3), который служит в качестве отпечатка ...
Изменения, в которых установлен графический процессор (GPU) или графический драйвер , могут вызвать изменение отпечатка пальца. Отпечаток пальца может быть сохранен и передан рекламным партнерам для идентификации пользователей, когда они посещают аффилированные веб-сайты. Профиль может быть создан на основе активности просмотра пользователем, что позволяет рекламодателям нацеливать рекламу на предполагаемые демографические данные и предпочтения пользователя. [4] [7]
К январю 2022 года концепция была расширена до снятия отпечатков характеристик производительности графического оборудования, названных исследователями DrawnApart. [8]
Поскольку отпечаток в первую очередь основан на браузере, операционной системе и установленном графическом оборудовании, он не идентифицирует пользователей однозначно. В небольшом исследовании с 294 участниками из Amazon's Mechanical Turk была обнаружена экспериментальная энтропия в 5,7 бит. Авторы исследования предполагают, что в дикой природе, вероятно, можно было бы наблюдать большую энтропию и с большим количеством шаблонов, используемых в отпечатке. Хотя этого недостаточно для идентификации отдельных пользователей, этот отпечаток можно объединить с другими источниками энтропии, чтобы предоставить уникальный идентификатор. Утверждается, что, поскольку метод эффективно снимает отпечатки с графического процессора, энтропия «ортогональна» энтропии предыдущих методов снятия отпечатков браузеров, таких как разрешение экрана и возможности браузера JavaScript . [9]
Гораздо более уникальная идентификация становится возможной с помощью DrawnApart, опубликованного в 2022 году, который, как было показано, увеличивает продолжительность отслеживания отдельных отпечатков пальцев на 67% при использовании для улучшения других методов. [8]
В мае 2012 года Китон Мауэри и Ховав Шахам, исследователи из Калифорнийского университета в Сан-Диего , написали статью «Pixel Perfect: Fingerprinting Canvas in HTML5», в которой описали, как HTML5 Canvas может использоваться для создания цифровых отпечатков пальцев веб-пользователей. [4] [9]
Компания AddThis, занимающаяся технологиями социальных закладок, начала экспериментировать с отпечатками холста в начале 2014 года в качестве потенциальной замены файлов cookie . 5% из 100 000 крупнейших веб-сайтов использовали отпечатки холста, пока они были развернуты. [10] По словам генерального директора AddThis Ричарда Харриса, компания использовала только данные, собранные в ходе этих тестов, для проведения внутренних исследований. Пользователи смогут установить файл cookie с отказом на любом компьютере, чтобы предотвратить отслеживание AddThis с помощью отпечатков холста. [4]
Разработчик программного обеспечения, пишущий в Forbes, заявил, что снятие отпечатков пальцев с устройств использовалось для предотвращения несанкционированного доступа к системам задолго до того, как оно стало использоваться для отслеживания пользователей без их согласия. [3]
По состоянию на 2014 год эта технология широко распространена на многих веб-сайтах и используется по крайней мере десятком известных поставщиков веб-рекламы и отслеживания пользователей. [11]
В 2022 году возможности снятия отпечатков пальцев с холста были значительно расширены за счет учета мельчайших различий между номинально идентичными блоками одной и той же модели GPU. Эти различия коренятся в производственном процессе, делая блоки более детерминированными с течением времени, чем между идентичными копиями. [8]
Справочная документация Tor Project гласит: «После плагинов и предоставляемой плагинами информации мы считаем, что HTML5 Canvas является самой большой угрозой снятия отпечатков, с которой сталкиваются браузеры сегодня». [12] Tor Browser уведомляет пользователя о попытках чтения холста и предоставляет возможность возвращать пустые данные изображения для предотвращения снятия отпечатков. [6] Однако в настоящее время Tor Browser не может отличить законное использование элемента холста от попыток снятия отпечатков, поэтому его предупреждение не может быть принято как доказательство намерения веб-сайта идентифицировать и отслеживать своих посетителей. Надстройки браузера, такие как Privacy Badger , [10] DoNotTrackMe , [13] или Adblock Plus [14], вручную улучшенные с помощью списка EasyPrivacy, способны блокировать сторонние трекеры рекламных сетей и могут быть настроены для блокировки снятия отпечатков холста, при условии, что трекер обслуживается сторонним сервером (а не внедряется самим посещаемым веб-сайтом). [ требуется ссылка ] Canvas Defender , надстройка браузера, подделывает отпечатки Canvas. [15]
Проект браузера LibreWolf включает технологию, которая блокирует доступ к HTML5 Canvas по умолчанию, разрешая его только в определенных случаях, разрешенных пользователем.