Nie podałeś imienia. A ja i tak Cię rozpoznaję.
Każda strona, którą otwierasz, może zapytać przeglądarkę o kilkadziesiąt drobnych szczegółów: ekran, czcionki, kartę graficzną, strefę czasową. Każdy z osobna jest nudny. Razem tworzą odcisk, który często pasuje tylko do jednego urządzenia na milion. Bez ciasteczek i bez logowania.
Rysunek powstaje z Twojego odcisku. Inna przeglądarka lub inny komputer narysuje inny wzór.
Co widzi każda strona
Czerwony pasek: ile informacji (w bitach) daje cecha. Każdy bit podwaja liczbę urządzeń, które można odróżnić. Wartości są orientacyjne.
Jak powstaje odcisk
Zbierz cechy
Skrypt pyta przeglądarkę o ekran, język, czcionki, kartę graficzną. Nie potrzebuje do tego Twojej zgody ani żadnego okienka.
Połącz w napis
Wszystkie odpowiedzi skleja w jeden długi tekst, zawsze w tej samej kolejności.
Policz skrót
Funkcja skrótu (hash) zamienia ten tekst na krótki kod. Ten sam tekst daje zawsze ten sam kod, a zmiana jednej litery daje zupełnie inny.
Porównaj z bazą
Firma reklamowa wysyła kod na swój serwer. Jeśli już go zna, wie, że to znowu Ty, nawet po usunięciu ciasteczek.
Spróbuj sam. Odznacz cechy i zobacz, jak zmienia się skrót i ile informacji zostaje.
Krok 2: sklejony napisLudzi na Ziemi jest około 8,2 miliarda, czyli mniej niż 233. 33 bity wystarczyłyby, żeby teoretycznie wskazać każdego. Cechy są ze sobą powiązane (np. system i czcionki), więc prawdziwa liczba jest mniejsza niż suma, ale i tak zwykle wystarcza.
Odcisk z rysunku: canvas
Strona po cichu rysuje napis, emoji i gradient, a potem odczytuje piksele. Wynik zależy od karty graficznej, sterowników, systemu i zainstalowanych czcionek. Dwa komputery, które wyglądają identycznie, rysują ten obrazek minimalnie inaczej: różnią się odcienie pojedynczych pikseli na krawędziach liter.
Skrót pikseli Twojego rysunkuPodobnie działa odcisk dźwiękowy: przeglądarka „gra” w pamięci krótki dźwięk, a drobne różnice w obliczeniach zdradzają urządzenie. Nic nie słychać.
Eksperyment: czy rozpoznam Cię jutro?
Ciasteczka można usunąć. Odcisku nie da się „wyczyścić”, bo to nie jest plik, tylko opis Twojego urządzenia. Sprawdź to:
| Co zrobić | Ciasteczko | Odcisk |
|---|---|---|
| Otwórz tę stronę w oknie prywatnym (incognito) | znika | zwykle ten sam |
| Usuń dane przeglądania i wróć | znika | ten sam |
| Zmień rozmiar okna lub powiększenie (Ctrl +) | zostaje | zmieniają się tylko cechy okna |
| Otwórz w innej przeglądarce na tym samym komputerze | inne | częściowo podobny (ten sam ekran, czcionki, karta graficzna) |
Twój kod odcisku: —
Do tego kodu wchodzą wszystkie cechy z rubryki 1 oprócz rozmiaru okna, który zmienia się za często.
Zapisz go albo skopiuj, otwórz stronę w oknie prywatnym i wklej tutaj kod z poprzedniego okna:
Ta strona porównuje kody tylko na Twoim ekranie. Prawdziwe skrypty śledzące robią to automatycznie na swoim serwerze, a do tego widzą Twój adres IP, którego ta strona nawet nie zna.
Symulator śledzenia
Wylosuj zmyślone urządzenie, zobacz jego odcisk i wyślij go tak, jak robi to skrypt śledzący. Dane są losowane z typowych zestawów: popularne ekrany, przeglądarki, karty graficzne i strefy czasowe.
Ile urządzeń ma ten sam odcisk?
Wylosuj tysiąc urządzeń i policz, ile kodów się powtarza: raz dla pełnego odcisku, raz tylko dla trzech cech (system, przeglądarka, strefa czasowa).
Wyślij symulację
Tak wygląda paczka, którą skrypt śledzący wysyła na swój serwer. Ta strona wysyła ją tylko wtedy, gdy klikniesz, i zawsze jest to wylosowane urządzenie, nigdy Twoje.
E-mail otwiera Twój program pocztowy z gotową wiadomością. Adres serwera dostaje dane metodą POST w formacie JSON. Nauczyciel może przygotować własny adres odbiorczy i pokazać klasie, co dokładnie dociera na serwer. Prawdziwe skrypty robią to po cichu, ukrytym zapytaniem, zanim zdążysz cokolwiek kliknąć.
Jak się chronić
Paradoks: każda nietypowa zmiana (rzadka czcionka, dziwny rozmiar okna, 20 rozszerzeń) czyni Cię bardziej unikalnym. Najlepiej ukryć się w tłumie.
Tor Browser sprawia, że wszyscy użytkownicy wyglądają tak samo. Firefox (ścisła ochrona przed śledzeniem) i Brave ograniczają lub losują część danych. Safari upraszcza to, co pokazuje stronom.
Rozszerzenia blokujące reklamy i skrypty śledzące odcinają wiele stron od usług, które zbierają odciski.
Aktualna przeglądarka i system mają najnowsze zabezpieczenia i wyglądają jak u milionów innych osób.
W Unii Europejskiej śledzenie urządzenia, także odciskiem, zwykle wymaga Twojej zgody. Okno z ciasteczkami dotyczy też takich technik. Możesz odmówić.
Odcisk służy też dobrym celom: banki wykrywają nim podejrzane logowania. Chodzi o to, żeby wiedzieć, że istnieje, i świadomie wybierać.
Sprawdź się
Skąd wiadomo, że to działa?
W 2010 roku Peter Eckersley z Electronic Frontier Foundation zebrał odciski prawie pół miliona przeglądarek w projekcie Panopticlick. 83,6% z nich było jedynych w swoim rodzaju. Dziś podobne badania prowadzi projekt AmIUnique, a przeglądarki z roku na rok ukrywają coraz więcej szczegółów. Szacunki bitów na tej stronie pochodzą z takich badań i są przybliżone.
Europejska Rada Ochrony Danych w wytycznych 2/2023 wyjaśnia, że przepisy o zgodzie na ciasteczka (art. 5 ust. 3 dyrektywy ePrivacy) obejmują też inne techniki odczytu informacji z urządzenia, w tym odciski przeglądarki.
Najczęstsze pytania
Czym jest odcisk przeglądarki (fingerprint)?
To zestaw cech przeglądarki i urządzenia, takich jak ekran, czcionki, karta graficzna i strefa czasowa. Razem tworzą opis, który często pasuje tylko do jednego urządzenia. Strona może go odczytać bez ciasteczek i bez logowania.
Czy ta strona zapisuje albo wysyła moje dane?
Nie. Wszystkie cechy liczy Twoja przeglądarka i znikają po zamknięciu karty. Wysłać można tylko wylosowany, zmyślony odcisk z symulatora, i tylko po kliknięciu „Wyślij”.
Czy usunięcie ciasteczek usuwa odcisk?
Nie. Odcisk to opis urządzenia, a nie plik. Po usunięciu ciasteczek strona zwykle wylicza ten sam kod.
Czy okno prywatne (incognito) chroni przed odciskiem?
Zwykle nie. Okno prywatne nie zapisuje historii ani ciasteczek, ale ekran, czcionki i karta graficzna pozostają takie same.
Jak zmniejszyć swoją unikalność?
Korzystaj z przeglądarki z ochroną przed odciskami (np. Tor Browser, Firefox z ścisłą ochroną, Brave), blokuj skrypty śledzące, aktualizuj system i nie zmieniaj ustawień na nietypowe.
Czy fingerprinting jest legalny?
W Unii Europejskiej odczyt informacji z urządzenia do śledzenia zwykle wymaga zgody, tak jak ciasteczka. Odcisk bywa też używany w dobrym celu, na przykład przez banki do wykrywania podejrzanych logowań.