Alles über WebGL-Fingerprinting: Hardware-Tracking und wie man es vermeidet

El WebGL-Fingerprinting Es nutzt Informationen aus der grafischen Umgebung des Browsers, um ein Gerät zu erkennen. Dabei werden Renderer-Funktionen, unterstützte Funktionen und mit WebGL generierte Bildergebnisse kombiniert. Zum Erfassen dieser Signale ist kein Cookie erforderlich, allerdings wird dadurch auch keine eindeutige und dauerhafte Kennung erstellt.

Der Unterschied ist wichtig: Die Kenntnis des GPU-Modells ist nicht dasselbe wie die Identifizierung einer bestimmten physischen Einheit.Darüber hinaus hängen die gewonnenen Daten von den Treibern, dem System, dem Browser und dessen Sicherheitsmaßnahmen ab. Um das Risiko einzuschätzen, ist es wichtig zu verstehen, auf welche Informationen zugegriffen wird, wie diese verwendet werden und welche Maßnahmen zur Einschränkung ergriffen werden können.

Was ist WebGL-Fingerprinting und welche Daten werden dabei verwendet?

WebGL ist eine JavaScript-API zum Rendern von 2D- und 3D-Grafiken in unterstützten Browsern.Es wird in Visualisierungsanwendungen, Spielen und anderen interaktiven Erlebnissen eingesetzt, ohne auf externe Plugins angewiesen zu sein.

Fingerprinting bezeichnet die Erfassung bestimmter Merkmale der Bilddarstellung, um Browserumgebungen zu unterscheiden. Zu den nutzbaren Signalen gehören verfügbare Funktionen, Zeichenketten, die den Renderer beschreiben, und die Ergebnisse der Szenendarstellung.

Daher ist es nicht korrekt, es als Auslesen eines physischen Nummernschilds auf der Grafikkarte zu beschreiben. Die Informationen stammen von einem Kombination aus Hardware und Software, dargestellt durch die Funktionen, die Ihnen der Browser zur Verfügung stellt.

Nicht jede Nutzung von WebGL beinhaltet Tracing. Eine Anwendung kann Grafikfunktionen abfragen, um korrekt zu funktionieren oder Kompatibilitätsprobleme zu beheben. Der Zweck hängt davon ab, welche Daten erfasst und wie diese verwendet werden.

Wie man einen Footprint aus dem Rendering erhält

Es gibt kein einheitliches, zwingend vorgeschriebenes Verfahren. Ein System kann Metadaten abfragen, Bilder analysieren oder mehrere Tests kombinieren. Ein renderbasierter Prozess kann folgende Schritte umfassen:

1. Einen grafischen Kontext erstellen: Der Seitencode fordert einen WebGL- oder WebGL 2-Kontext an, der einem Canvas-Element zugeordnet ist.
2. Funktionen ansehen: Es ruft bestimmte kompatible Parameter und Funktionen ab, abhängig davon, was der Browser zulässt.
3. Zeichne eine Szene: Es verwendet definierte Anweisungen und Eingabedaten, um ein Bild zu erzeugen.
4. Lesen Sie das Ergebnis: Funktionen wie readPixels() Sie ermöglichen das Abrufen von Pixeldaten aus dem Grafikpuffer.
5. Vergleichen oder fassen Sie die Signale zusammen: Die Ergebnisse können kombiniert und in einen Hashwert umgewandelt werden, um die Speicherung und den Vergleich zu vereinfachen.

Die Anfragen werden mithilfe von im Browser ausgeführtem Code gestellt. Die Seite kann anschließend Informationen an den Server senden. Die Berechnung der Kennung kann clientseitig, serverseitig oder gemeinsam von beiden durchgeführt werden.

Der Hashwert verleiht den Originaldaten keine Eindeutigkeit. Wenn mehrere Computer dieselben Eingaben für einen Test liefern, können sie das Ergebnis teilen. Nur weil eine Zeichenkette komplex erscheint, beweist das nicht, dass sie einen einzelnen Computer identifiziert.

Worin unterscheidet es sich vom Fingerprinting mit Canvas 2D?

Das Element canvas Es kann sowohl im 2D-Kontext als auch mit WebGL verwendet werden. In Canvas-2D-Tests können beispielsweise Text und Formen analysiert werden; mit WebGL werden die Operationen und Funktionen seiner grafischen Umgebung genutzt.

In beiden Fällen können System- und Softwareelemente eine Rolle spielen. Daher Es ist falsch, Canvas als eine ausschließlich browserbasierte Technik und WebGL als eine ausschließlich physikalische Technik zu betrachten.noch zu behaupten, dass die eine Methode immer besser identifiziert als die andere.

Was es über Ihre GPU aussagen kann und wo ihre Grenzen liegen

Die Art der verfügbaren Informationen variiert je nach Browser und Konfiguration. Einige Signale beschreiben Funktionen, die von vielen Geräten gemeinsam genutzt werden; andere können helfen, spezifischere Kombinationen zu unterscheiden.

Zeichen	Welchen Beitrag kann es leisten?	Was es von sich aus nicht beweist
Hersteller und Renderer	Informationen über die grafische Implementierung, die der Browser übermittelt.	Eine eindeutige Identifizierung der physischen Karte.
Erweiterungen und Beschränkungen	Unterstützte Funktionen und verfügbare Fähigkeiten der Anwendung.	Dass zwei Geräte mit den gleichen Fähigkeiten ein und dasselbe Gerät sind.
Bildresultat	Unterschiede im Ergebnis eines Rendering-Tests.	Dass das Ergebnis nach jeder Systemänderung gleich bleibt.
Leistungsmessungen	Signale, die von fortgeschritteneren Forschungsmethoden genutzt werden.	Dass ein Tracker die Genauigkeit dieser Experimente erreicht.

Eine der bekannten Erweiterungen ist WEBGL_debug_renderer_infoEs ermöglicht Ihnen, Hersteller- und Renderer-Zeichenfolgen abzufragen. UNMASKED_VENDOR_WEBGL y UNMASKED_RENDERER_WEBGL, wenn der Browser diese Informationen bereitstellt.

Diese Zeichenketten geben nicht immer ein genaues Modell oder eine vollständige Version des Controllers wieder. Datenschutzbestimmungen können sie einschränken oder dazu führen, dass sie allgemeine Informationen zurückgeben.

Es gibt auch Techniken, die über das Abfragen von Metadaten oder den Vergleich von Pixeln hinausgehen. Die Forschung AuseinandergezogenDie auf der NDSS 2022 vorgestellte Studie untersuchte Geschwindigkeitsunterschiede zwischen GPU-Ausführungseinheiten und konnte in ihren Experimenten Geräte mit ähnlichen Konfigurationen unterscheiden.

Dieses Ergebnis zeigt, dass die grafische Fingerabdruckanalyse Beachtung verdient, erlaubt aber nicht den Schluss, dass jede Website jede GPU zuverlässig identifizieren kann. Es ist wichtig, zwischen der verwendeten Methode, den Testbedingungen und den Ergebnissen zu unterscheiden.

Darüber hinaus kann sich ein digitaler Fußabdruck verändern, wenn sich die grafische Benutzeroberfläche oder die Software ändert. Bleibt er stabil, kann er helfen, Besuche miteinander zu verknüpfen; ändert er sich, bedeutet das nicht zwangsläufig, dass der Dienst andere Möglichkeiten zur Wiedererkennung verloren hat.

Wie man die Belastung durch grafische Informationen reduzieren kann

Abwehrmechanismen können bestimmte Skripte blockieren, die offengelegten Daten einschränken oder einige Antworten modifizieren. Sich selbst zu schützen erfordert nicht unbedingt, dass man jegliche grafische Darstellung deaktiviert.Allerdings hat jede Maßnahme einen bestimmten Anwendungsbereich und potenzielle Auswirkungen auf die Anwendungen.

Mutige grafische Schutzmaßnahmen

Brave hat ab Version 1.93 neue Maßnahmen angekündigt, um die über WebGL und WebGPU verfügbaren Signale zu reduzieren. Dazu gehören generische Hersteller- und Rendererinformationen, leere Adapterdeskriptoren in WebGPU und die Randomisierung der WebGL-Erweiterungsliste.

Laut Dokumentation sind diese Schutzfunktionen auf Desktop- und Android-Geräten standardmäßig aktiviert. Stellen Sie sicher, dass Sie eine aktuelle Version verwenden und dass Schilde sind für die Seite aktivWenn eine grafische Anwendung Probleme verursacht, überprüfen Sie die Ausnahmen für diese Website, bevor Sie den Schutz für den gesamten Browser ändern.

Firefox-Schutzfunktionen und erweiterte Einstellungen

Firefox beinhaltet im Rahmen seines erweiterten Tracking-Schutzes Maßnahmen gegen bekannte und vermutete Tracker. Diese Schutzmechanismen sollten nicht mit einer vollständigen WebGL-Blockierung verwechselt werden.

Es gibt auch die erweiterte Einstellung. privacy.resistFingerprintingMDN weist darauf hin, dass Firefox die Erweiterung deaktiviert, wenn sie aktiviert ist. WEBGL_debug_renderer_info.

Allerdings werden weitere Aspekte des Browsers verändert, was zu Inkompatibilitäten führen kann. Mozilla empfiehlt diese Konfiguration nicht für den durchschnittlichen Benutzer.Es ist nicht ratsam, diese Funktion zu aktivieren, in der Annahme, dass dadurch lediglich das GPU-Modell ausgeblendet wird.

Browser, die die Unterschiede zwischen Benutzern verringern

Der Tor Browser nutzt verschiedene Maßnahmen, um die Einzigartigkeit seiner Umgebung zu reduzieren. Ziel ist es, beobachtbare Unterschiede zu minimieren und die Nachverfolgung zu erschweren, wobei die Dokumentation klarstellt, dass es nicht möglich ist, alle Nutzer identisch zu machen.

Diese Strategie unterscheidet sich von der Installation von Tools, die versprechen, jedes beliebige Gerät zu simulieren. Ein kommerzielles Versprechen der „Unauffindbarkeit“ stellt keine Garantie für Datenschutz dar.

Was ein VPN, der Inkognito-Modus oder SwiftShader nicht lösen können

Einige Maßnahmen wirken auf andere Elemente der Verbindung ein und beseitigen die grafischen Signale nicht von selbst:

Ausmaß	Was Sie beachten sollten
Verwenden Sie ein VPN	Es verändert von sich aus nicht die Antworten der Grafik-APIs des Browsers.
Öffne ein privates Fenster	Es ist nicht garantiert, dass alle grafischen Signale verborgen werden; dies hängt von den angewandten Schutzmaßnahmen ab.
Cookies löschen	Dies ändert nicht zwangsläufig die Eigenschaften, die ein WebGL-Test analysiert.
Ändern Sie nur den User-Agent.	Es verändert nicht automatisch die übrigen Daten, die die Seite anzeigen kann.
Software-Rendering erzwingen	Es ändert zwar die verwendete Implementierung, beweist aber nicht, dass der Browser anonym ist.

SwiftShader implementiert Grafikfunktionen mithilfe der CPU. Dies ist in bestimmten Entwicklungs- und Testszenarien nützlich, aber Es sollte nicht als allgemeine Lösung zur Verschleierung der Identität empfohlen werden..

Chromium dokumentiert die Sicherheitsrisiken, die mit seiner Verwendung als WebGL-Ersatz verbunden sind, und hat die automatische Ersetzung für veraltet erklärt. Daher ist es nicht ratsam, Methoden anzuwenden, die die Sicherheitsgarantien des Browsers beeinträchtigen, um einen Fingerabdruck zu ändern.

Weitere Informationen zum Unterschied zwischen privatem Surfen und Tracking-Schutz finden Sie in der entsprechenden Webseite. Einschränkungen des Inkognito-Modus von Google Chrome.

Wie man WebGL in Firefox deaktiviert und wie man dies rückgängig macht

Durch Deaktivieren von WebGL wird die Nutzung dieser API verhindert, was jedoch Auswirkungen auf Spiele, 3D-Viewer und andere Anwendungen haben kann. Es handelt sich um eine erweiterte Option, die Kompatibilitätseinbußen mit sich bringt und keine Anonymität garantiert.

Mozilla dokumentiert dieses Verfahren für Firefox auf der Desktop-Version:

1. Schreibt about:config in der Adressleiste.
2. Fahren Sie fort, nachdem Sie den Hinweis zu den erweiterten Einstellungen gelesen haben.
3. Achten Sie auf die Präferenz webgl.disabled.
4. Ändern Sie seinen Wert auf true.
5. Schließen Sie Firefox vollständig und starten Sie ihn neu.

Um die Änderung rückgängig zu machen, stellen Sie die Einstellung wieder auf false Starten Sie Ihren Browser neu. Überprüfen Sie anschließend die Anwendungen, die Sie regelmäßig verwenden.

Die Deaktivierung von WebGL bedeutet nicht, dass alle Grafik-APIs oder alle Fingerprinting-Methoden deaktiviert werden. Dies sollte auch nicht mit dem einfachen Deaktivieren der Hardwarebeschleunigung verwechselt werden: Es handelt sich hierbei um unterschiedliche Einstellungen.

Wie Sie überprüfen können, welche WebGL-Informationen Sie preisgeben

Verwische deine SpurenDas Tool der Electronic Frontier Foundation ermöglicht es Nutzern, Browsereigenschaften einzusehen und bestimmte Sicherheitsmechanismen zu bewerten. Zu den Messungen gehören auch Informationen zum grafischen Fingerabdruck.

Um WebGL sinnvoll zu bewerten:

1. Führen Sie den Test durch und öffnen Sie den detaillierten Bericht.
2. Suchen Sie nach den Feldern, die mit WebGL zusammenhängen, insbesondere nach Hersteller, Renderer und Image Footprint, sobald diese angezeigt werden.
3. Beachten Sie die Browserversion und die aktivierten Schutzmechanismen.
4. Ändern Sie eine einzelne Bedingung und wiederholen Sie den Test, um diese Felder zu vergleichen.
5. Prüfen Sie außerdem, ob die benötigten Grafikanwendungen noch funktionieren.

Dass der Renderer mit einem generischen Namen erscheint, könnte eine erwartete Folge des Schutzes sein. Die Tatsache, dass WebGL weiterhin funktioniert, bedeutet nicht, dass alle seine Antworten uneingeschränkt offengelegt werden.

Der Einzigartigkeitswert vergleicht Ihren Browser mit einer vom Projekt erfassten Stichprobe von Besuchern. Es handelt sich weder um eine vollständige Erfassung aller Mannschaften noch um eine Anonymitätsbescheinigung.Interpretieren Sie neben dem Gesamtergebnis auch die einzelnen Daten.

Was ändert sich mit WebGPU?

WebGPU ist jetzt in unterstützten Browsern und Umgebungen verfügbar.Es ermöglicht die Anzeige von Grafiken und die Durchführung von Berechnungen mit Hilfe der GPU, wobei die Verfügbarkeit vom Browser, System und Gerät abhängt.

Es kann auch nutzbare Signale für Fingerprinting liefern. Die Schnittstelle GPUAdapterInfo Es enthält Informationen über den Hersteller, die Architektur, das Gerät und seine Beschreibung, wobei die Felder je nach Implementierung leer sein oder eine unterschiedliche Genauigkeit aufweisen können.

Dass eine Eigenschaft als device Es kann nicht automatisch als die physische Seriennummer einer Karte interpretiert werden. MDN erklärt, dass die weitergegebenen Informationen aufgrund der Datenschutzbestimmungen eingeschränkt sind.

Daher empfiehlt es sich bei der Bewertung der Grafikfunktionen eines Browsers, sowohl WebGL als auch WebGPU zu prüfen, sofern verfügbar. Ziel ist es, zu verstehen, welche Signale ausgetauscht werden und welche Sicherheitsvorkehrungen getroffen wurden, ohne anzunehmen, dass eine API immer jeden Computer identifiziert oder dass die Änderung einzelner Daten die Nachverfolgung vollständig unterbindet.