Alles over WebGL-vingerafdrukken: hardwaretracking en hoe je ze kunt vermijden

El WebGL-vingerafdruk Het maakt gebruik van informatie uit de grafische omgeving van de browser om een ​​apparaat te herkennen. Het kan rendererfuncties, ondersteunde functies en beeldresultaten die met WebGL zijn gegenereerd, combineren. Het hoeft geen cookie op te slaan om deze signalen te verzamelen, hoewel het ook niet per se een unieke en permanente identificatiecode creëert.

Het verschil is belangrijk: Het kennen van het model van een GPU is niet hetzelfde als het identificeren van een specifieke fysieke eenheid.Bovendien zijn de verkregen gegevens afhankelijk van de stuurprogramma's, het systeem, de browser en de beveiligingsmaatregelen. Om het risico in te schatten, is het belangrijk te begrijpen welke informatie wordt geraadpleegd, hoe deze wordt gebruikt en welke maatregelen kunnen worden genomen om dit te beperken.

Wat is WebGL-fingerprinting en welke gegevens worden ervoor gebruikt?

WebGL is een JavaScript API voor het weergeven van 2D- en 3D-graphics in ondersteunde browsers.Het wordt gebruikt in visualisatietoepassingen, games en andere interactieve ervaringen, zonder dat er externe plug-ins nodig zijn.

Vingerafdrukken worden gemaakt wanneer bepaalde kenmerken van een weergave worden verzameld om verschillende browseomgevingen te onderscheiden. Tot de bruikbare signalen behoren beschikbare mogelijkheden, tekenreeksen die de renderer beschrijven en de resultaten die worden geproduceerd bij het tekenen van een scène.

Het is daarom niet correct om het te beschrijven als het uitlezen van een fysiek kenteken op de grafische kaart. De informatie komt van een combinatie van hardware en software, gepresenteerd via de functies die de browser je laat gebruiken.

Niet al het gebruik van WebGL omvat tracering. Een applicatie kan grafische mogelijkheden opvragen om correct te functioneren of oplossingen toepassen voor compatibiliteitsproblemen. Het doel hangt af van welke gegevens worden verzameld en hoe deze worden gebruikt.

Hoe verkrijg ik een voetafdruk uit de rendering?

Er is geen enkele verplichte procedure. Een systeem kan metadata opvragen, afbeeldingen analyseren of meerdere tests combineren. Een op rendering gebaseerd proces kan de volgende stappen volgen:

1. Creëer een grafische context: De paginacode vraagt ​​om een ​​WebGL- of WebGL 2-context die is gekoppeld aan een canvas-element.
2. Bekijk de functies: Het verkrijgt bepaalde compatibele parameters en functies, afhankelijk van wat de browser toestaat.
3. Teken een scène: Het maakt gebruik van vooraf gedefinieerde instructies en invoergegevens om een ​​afbeelding te produceren.
4. Lees het resultaat: functies zoals readPixels() Ze maken het mogelijk om pixelgegevens uit de grafische buffer op te halen.
5. Vergelijk of vat de signalen samen: De resultaten kunnen worden gecombineerd en omgezet in een hash voor eenvoudigere opslag en vergelijking.

De query's worden uitgevoerd met behulp van code die in de browser wordt uitgevoerd. De pagina kan vervolgens informatie naar de server sturen. De berekening van de identificatiecode kan plaatsvinden aan de clientzijde, aan de serverzijde of gedeeld tussen beide.

De hash voegt geen unieke eigenschappen toe aan de oorspronkelijke gegevens. Als meerdere computers dezelfde invoer voor een test produceren, kunnen ze het resultaat delen. Dat een tekenreeks complex lijkt, bewijst niet dat deze één specifieke computer identificeert.

Waarin verschilt dit van vingerafdrukken met Canvas 2D?

Het element canvas Het kan zowel in een 2D-context als met WebGL worden gebruikt. In Canvas 2D-tests kunnen bijvoorbeeld tekst en vormen worden geanalyseerd; met WebGL worden de bewerkingen en functies van de grafische omgeving benut.

In beide gevallen kunnen systeem- en software-elementen een rol spelen. Daarom, Het is onjuist om Canvas te beschouwen als een uitsluitend browsergebaseerde techniek en WebGL als een uitsluitend fysieke techniek.En evenmin wil ik beweren dat de ene methode altijd beter is dan de andere.

Wat het kan onthullen over je GPU en wat de beperkingen ervan zijn.

Het type beschikbare informatie verschilt per browser en configuratie. Sommige signalen beschrijven mogelijkheden die door veel apparaten worden gedeeld; andere kunnen helpen om meer specifieke combinaties te onderscheiden.

Teken	Wat kan het bijdragen?	Wat het op zichzelf niet bewijst
Fabrikant en renderer	Informatie over de grafische implementatie die de browser communiceert.	Een unieke identificatiecode voor de fysieke kaart.
Uitbreidingen en beperkingen	Ondersteunde functies en mogelijkheden die beschikbaar zijn voor de applicatie.	Dat twee apparaten met dezelfde mogelijkheden hetzelfde apparaat zijn.
Afbeeldingsresultaat	Verschillen in de output van een renderingtest.	Dat het resultaat hetzelfde blijft na elke systeemwijziging.
Prestatiemetingen	Signalen die gebruikt worden door meer geavanceerde onderzoekstechnieken.	Dat een tracker dezelfde nauwkeurigheid bereikt als die experimenten.

Een van de bekende uitbreidingen is WEBGL_debug_renderer_infoHiermee kunt u fabrikant- en rendererstrings opvragen met behulp van UNMASKED_VENDOR_WEBGL y UNMASKED_RENDERER_WEBGL, wanneer de browser die informatie verstrekt.

Deze gegevensreeksen geven niet altijd een nauwkeurig model of een complete versie van de controller weer. Privacybescherming kan ervoor zorgen dat ze beperkt zijn of dat ze generieke informatie retourneren.

Er bestaan ​​ook technieken die verder gaan dan het opvragen van metadata of het vergelijken van pixels. Het onderzoek GescheidenDe studie, gepresenteerd op NDSS 2022, onderzocht snelheidsverschillen tussen GPU-executie-eenheden en was in staat om apparaten met vergelijkbare configuraties in de experimenten te onderscheiden.

Dit resultaat laat zien dat grafische vingerafdrukken aandacht verdienen, maar het stelt ons niet in staat om te concluderen dat elke website altijd elke GPU zal identificeren. Het is belangrijk om onderscheid te maken tussen de gebruikte methode, de testomstandigheden en de resultaten.

Bovendien kan een digitale voetafdruk veranderen wanneer de grafische omgeving of software wijzigt. Als deze stabiel blijft, kan dit helpen om bezoeken aan elkaar te koppelen; als deze verandert, betekent dat niet dat de dienst geen andere manieren meer heeft om u te herkennen.

Hoe verminder je de blootstelling aan schokkende informatie?

Beveiligingsmaatregelen kunnen bepaalde scripts blokkeren, de hoeveelheid blootgestelde gegevens beperken of sommige reacties aanpassen. Om jezelf te beschermen hoef je niet per se alle grafische weergave uit te schakelen.Elke maatregel heeft echter een eigen reikwijdte en potentiële gevolgen voor de toepassingen.

Brave grafische beveiligingen

Brave heeft nieuwe maatregelen aangekondigd, die ingaan met versie 1.93, om het aantal signalen dat beschikbaar is via WebGL en WebGPU te verminderen. Deze omvatten generieke fabrikant- en rendererinformatie, lege adapterbeschrijvingen in WebGPU en randomisatie van de WebGL-extensielijst.

Volgens hun documentatie zijn deze beveiligingen standaard ingeschakeld op desktop en Android. Controleer of u een bijgewerkte versie gebruikt en of Shields is actief voor de pagina.Als een grafische applicatie problemen veroorzaakt, controleer dan eerst de uitzonderingen voor die site voordat u de beveiliging voor de hele browser wijzigt.

Firefox-beveiligingen en geavanceerde instellingen

Firefox bevat maatregelen tegen bekende en verdachte trackers in de verbeterde trackingbeveiliging. Deze beveiligingsmaatregelen moeten niet worden verward met een volledige blokkering van WebGL.

Er is ook nog de geavanceerde instelling. privacy.resistFingerprintingVolgens MDN schakelt Firefox de extensie uit wanneer deze is ingeschakeld. WEBGL_debug_renderer_info.

Het wijzigt echter meer aspecten van de browser en kan incompatibiliteitsproblemen veroorzaken. Mozilla raadt dit niet aan als algemene configuratie voor de gemiddelde gebruiker.Het is niet aan te raden deze functie te activeren in de veronderstelling dat deze alleen het GPU-model verbergt.

Browsers die de verschillen tussen gebruikers verkleinen

De Tor Browser gebruikt verschillende maatregelen om de uniciteit van zijn omgeving te verminderen. Het doel is om waarneembare verschillen te beperken en het traceren moeilijker te maken, hoewel in de documentatie wordt vermeld dat het niet mogelijk is om alle gebruikers identiek te maken.

Deze strategie verschilt van het installeren van tools die beloven elk apparaat te simuleren. Een commerciële belofte van "onvindbaarheid" is geen garantie voor privacy.

Wat een VPN, incognitomodus of SwiftShader niet kunnen oplossen

Sommige maatregelen hebben invloed op andere elementen van de verbinding en elimineren op zichzelf de grafische signalen niet:

Omvang	Waar u rekening mee moet houden
Gebruik een VPN	Het wijzigt op zichzelf de reacties van de grafische API's van de browser niet.
Open een privévenster	Het garandeert niet dat alle grafische signalen worden verborgen; dat hangt af van de toegepaste beveiligingsmaatregelen.
Cookies verwijderen	Dit verandert niet noodzakelijkerwijs de kenmerken die een WebGL-test analyseert.
Wijzig alleen de User-Agent.	Het wijzigt niet automatisch de rest van de gegevens die de pagina kan weergeven.
Software rendering forceren	Het verandert de gebruikte implementatie, maar het bewijst niet dat de browser anoniem is.

SwiftShader implementeert grafische functies met behulp van de CPU. Dit is handig in bepaalde ontwikkelings- en testscenario's, maar Het is niet aan te raden als algemene oplossing voor het verbergen van iemands identiteit..

Chromium documenteert de beveiligingsrisico's die verbonden zijn aan het gebruik ervan als vervanging voor WebGL en heeft automatische vervanging als verouderd verklaard. Het is daarom niet raadzaam om methoden te volgen die de beveiligingsgaranties van de browser verminderen in een poging om de vingerafdruk te wijzigen.

Als u meer informatie nodig heeft over het verschil tussen privé browsen en trackingbescherming, kunt u de volgende informatie raadplegen: Beperkingen van de incognitomodus van Google Chrome.

Hoe schakel ik WebGL uit in Firefox en hoe zet ik het weer terug?

Het uitschakelen van WebGL voorkomt het gebruik van die API, maar het kan gevolgen hebben voor games, 3D-viewers en andere applicaties. Het is een geavanceerde optie met een nadeel qua compatibiliteit, geen garantie voor anonimiteit.

Mozilla documenteert deze procedure voor Firefox op de desktop:

1. Schrijft about:config in de adresbalk.
2. Ga verder nadat u de melding over geavanceerde instellingen hebt gelezen.
3. Zoek naar de voorkeur webgl.disabled.
4. Wijzig de waarde ervan naar true.
5. Sluit Firefox volledig af en start het opnieuw op.

Om de wijziging ongedaan te maken, zet u de voorkeur terug naar false en herstart je browser. Controleer vervolgens de applicaties die je regelmatig gebruikt.

Het uitschakelen van WebGL betekent niet dat alle grafische API's of alle fingerprintingmethoden worden uitgeschakeld. Dit moet ook niet verward worden met het simpelweg uitschakelen van hardwareversnelling: dit zijn verschillende instellingen.

Hoe controleer je welke WebGL-informatie je beschikbaar stelt?

Wis je sporen uitDe tool van de Electronic Frontier Foundation stelt gebruikers in staat browserkenmerken te bekijken en bepaalde beveiligingsmechanismen te evalueren. De metingen omvatten informatie met betrekking tot grafische vingerafdrukken.

Om WebGL op een nuttige manier te bekijken:

1. Voer de test uit en open het gedetailleerde rapport.
2. Zoek de velden die betrekking hebben op WebGL, met name fabrikant, renderer en afbeeldingsvoetafdruk, indien deze verschijnen.
3. Noteer de browserversie en de ingeschakelde beveiligingsfuncties.
4. Wijzig één enkele voorwaarde en herhaal de test om die velden te vergelijken.
5. Controleer ook of de grafische programma's die je nodig hebt nog steeds werken.

Het feit dat de renderer een generieke naam heeft, is mogelijk het verwachte gevolg van de beveiliging. Dat WebGL blijft functioneren, betekent niet dat al zijn reacties zonder beperkingen worden vrijgegeven.

De uniciteitsscore vergelijkt uw browser met een steekproef van bezoekers die door het project zijn geobserveerd. Het is geen telling van alle teams en ook geen verklaring van anonimiteit.Interpreteer de specifieke gegevens, naast het algemene resultaat.

Wat verandert er met WebGPU?

WebGPU is nu beschikbaar in ondersteunde browsers en omgevingen.Het stelt je in staat om afbeeldingen weer te geven en berekeningen uit te voeren met behulp van de GPU, hoewel de beschikbaarheid ervan afhangt van de browser, het systeem en het apparaat.

Het kan ook bruikbare signalen leveren voor vingerafdrukken. De interface GPUAdapterInfo Het bevat informatie over de fabrikant, architectuur, het apparaat en de beschrijving ervan, maar de velden kunnen leeg zijn of een verschillende nauwkeurigheid hebben, afhankelijk van de implementatie.

Dat een eigenschap zo genoemd wordt device Het kan niet automatisch worden geïnterpreteerd als het fysieke serienummer van een kaart. MDN legt uit dat de gedeelde informatie beperkt is vanwege de privacygevolgen.

Daarom is het bij het beoordelen van de grafische mogelijkheden van een browser aan te raden om, indien beschikbaar, zowel WebGL als WebGPU te bekijken. Het doel is om te begrijpen welke signalen worden gedeeld en welke beveiligingsmaatregelen er zijn getroffen, zonder ervan uit te gaan dat een API altijd elke computer identificeert of dat het wijzigen van een enkel gegeven tracking onmogelijk maakt.