Comments 126
Так а в чем реальная суть то? Ну да, таргетированную рекламу выдают.. но по факту вы просто еще одна уникальная снежинка. Если кто-то чего-то боится - поставить плагин для браузера, который полностью меняет слепок данных отдаваемых и все.
Я к тому что анонимность - это невозможность вас идентифицировать и фингерпринтинг ее не аннулирует, во всяком случае пока владелец фингерпринта не получит доступ к физической машине... а там уже будет строго пофиг на его наличие =)
Суть в том, что фингерпринтинг сам по себе не раскрывает твою личность, но создаёт устойчивый идентификатор, который можно узнавать между сессиями и легко связать с реальными данными - логином, email или платежами; в этот момент ты уже не «уникальная снежинка», а конкретный пользователь, а плагины часто не помогают, потому что делают отпечаток ещё более уникальным, поэтому проблема не в мгновенной деанонимизации, а в возможности стабильно отслеживать и склеивать твою активность, чего уже достаточно для антифрода и трекинга.
Вообще суть статьи была просто рассказать о fingerprinting. Чуть интереснее и намного подробнее, чем это обычно написано в интернете.
Суть таких плагинов что они делают ваш фингерпринт уникальным каждый раз. То есть вы не просто уникальная снежинка, вы каждый раз новая уникальная снежинка.
фингерпринтинг сам по себе не раскрывает твою личность, но создаёт устойчивый идентификатор, который можно узнавать между сессиями и легко связать с реальными данными - логином, email или платежами
У вас в статье этот момент не раскрыт. Хотя это ключевой момент всей этой темы. Самый интересный, и плохо изученный. Вы пишете например с захэшированным email. “Захэшированный email” уникальный, но по нему нельзя определить реальный email. Собиратель отпечатка никак не может получить реальный email, если только не сотрудничает с провайдером услуг электронной почты. Но передача таких сведений провайдером почты незаконна. То же самое с платежами.
Отдельная ситуация, когда сборщик отпечатков и провайдер почты одно лицо. Google собирает отпечатки, и знает адрес почты. Но никто кроме Гугла такого набора информации не имеет. (?)
И совершенно отдельный случай, если цифровой отпечаток собирает ФСБ, и все интернет-сервисы и банки передают им сведения помогающие связать отпечаток с реальными данными. В этом случае о законности говорить смысла нет. Но вы в статье не раскрываете структуру взаимодействия сборщика отпечатков с прочими сервисами. Вы не перечислили всех кто собирает отпечатки.
Да, вы правы, я обязательно дополню статью. Спасибо
Но никто кроме Гугла такого набора информации не имеет. (?)
Блажен тот, кто верует.
Любой сайт, где вы вводите свою почту, может сделать отпечаток и связать с ним введенный адрес. Как и все остальные данные, к которым имеет доступ. А если скрипт, который генерирует отпечаток, какой-то типовой, то дальше уже могут быть сценарии утечек/кооперации разных сайтов и тогда с отпечатком могут быть связаны какие-то данные из разных источников
сценарии утечек/кооперации разных сайтов
Вот это и есть самый интересный вопрос - как вся эта кухня устроена, и есть ли кооперация между различными ресурсами. Насколько сложна эта криминальная паутина. (и участвует ли в ней Хабр)
участвуют все. Даже не криминальная. Есть легальные коммерческие биржи «отпечатков» , потом все эти крупные wildberiess, azon и прочие банки и почты. Короче, все кто имеют миллионы пользователей своих услуг, все снимают отпечатки и хранят их. Технические полезны вам и сервису для ужобства пользования, а вот остальные….
Гугл, Майки прочие крупные ФБ, собирают стсто доя таргетинга рекламы подходящей вам… а вот почта Росии, я хз, чио с этим делает и кому передает. Понимаете? Туда же сбер и прочие яндексы. Вк молчу и бедный Рамблер))))
А те что легальные биржы — это отпечатки с сайтов блогеров, сайтов продажи авто, сайтов менее посещаемых чем ВК, но имееющих трафик. Так вот на этих сайтах и телеграмм каналах вы оставляете много следов, добровольно (в ЕС нажимая галочку предоставить кукки). Но как мы видели из статьи, там не только куки.
Повторяю — да! Есть впллне легальные биржи кому вы дали право продать свои отпечатки четвертым лицам получается….. Гугл и прочие крупные такое не продают, а используют в сових сервисах, для себя.
Помимо куков, они еще тащат кучу другой информации, как мы видим из статьи. Так что бесполезно отклонять куки, только мучаюсь листать и шелкать переключатели….
Жесть бесит это все с одной стороны. Гуглу я доверяю, так за считай 30 лет он подтвердил что является корпорацией добра (не считая модели рекламного бизнеса — я против таргетированной рекламы в целом), но остальным я не доверяю. Эппл еще доверяю, остальным нет.
Раньше мэйо ру доверял, был мой основной ящик, а потом…. Яндексу доверял.
А тут все в одно наволилось.
И повсеместная агрессивная рекламнаня политика разных ноунеймов.
Каждый парикхмар, автосервис пилит свое приложение, через него собирает разные мелкие данные, чинит тебе машину и сливает твой портрет тем самым биржам. А в приложение ты и телефон отставил и почту и карту банка видит пойди не бось…
Короче цирк. Ну их нафиг
Извините за простыню
PS: забыл добавит.
Да, давацте соавним с реальной жизнью!
Заходите вы такой весь разодетый пижон в пивную! Бармен и все присутсвующие считывают, как вы одеты, какие часы на Вас, какцю синару курите и какой напииоок заказывайте. Это нормально, я все понимаю, но!
есть какие-то границы?!
Доверяете гуглу?) Ну-ну. Это Вам не блокировали адвордс с предоплаченным рекламным бюджетом как-раз из-за фингерпринта (это я- то понимаю, что из-за фингерпринта, тк из одной подсети близких айпи много людей с ним работали), Вам не блокировали адсенс выплаты по желанию левой пятки хз кого. И да, не устраивает- добро пожаловать в высокий арбитражный суд Лондона, минимальный бюджет на юриста- 100к фунтов, бюджет юристов корпорации добра- условно бесконечность. Я понимаю, почему именно так поступал гугл- в РФ мошенников и так называемых "первобиллов" (схема кидка адвордса, фб и прочих контор с постоплатой) слишком много было, но люди страдали и несли финансовые потери только за то, что гугл нашел схожий паттерн с действиями других мошенников, разбираться кто там прав- да кто такие эти людишки из третьих стран , чтобы вообще с ними считаться? Они же не пойдут в суд, значит и проблемы нет (эту тактику массово используют и русский бизнес, но именно те, у кого в договоре прописано про арбитраж в лондоне этим всегда злоупотребляют- не пойдет туда человек без серьезного бюджета на юристов). При всем при этом признаю, что яндексы со всякими вк относятся к людям еще хуже, что никак не обеляет гугл.
Я прямо вижу как опустошалась кружка пива пока набирался текст)
Если идею фингерпринтинга скрестить с вот этой новостью https://habr.com/ru/news/979738/ , то все заиграет совершенно новыми красками...)) Понятно, что в целях рекламы, понятно, что только на сайтах, где есть счетчики, понятно, что никому мы не нужны, но меня настораживает, что технически - это возможность привязать конкретную просмотренную страницу к конкретному однозначно идентифицируемому человеку.
Вы читали "Удавы и кролики"? "вы просто еще одна уникальная снежинка" — стратегия кролика. Нас много, чем нас больше, тем меньше шансов, что конкретно меня поймают. Это не плохая и рабочая стратегия для комфортного большинства...
С другой стороны, пытаясь изменить эту стратегию пользователь сразу выделяется, как светящаяся лампочка. И чтобы этого не было нужна критическая масса "анонимных параноиков", которые защищают свою анонимность без всякой особой причины.
Мне кажется, что в этом смысл анонимности и заключается – ничем не выделяться и перестать быть уникальным. А для этого надо сбросить свои уникальные признаки, свой фингерпринт и быть неотличимым от сотен и тысяч таких же кроликов.
А заодно отказаться от собственных взглядов, интересов, жить и думать ровно так, как партия велит.
Ну тут приходится выбирать. Или окраска, чтобы сливаться с окружающей травой; быть чуть сильнее остальных, чтобы быть в табуне себе подобных. И прожить долгую жизнь.
Или быть ярким, несогласным и идущим против системы панком и попасть в клуб 27.
Пока что, только в «виртуальной» жизни, в сети.
А теперь представьте, что уже и в реальной жизни будем все в худи и с капюшоном на голову за пивом ходить. И не дай бог третий посетитель увидит модель ваших наручных часов и марку телефона.
Кошмар короче….
Не, однажды где-то схлопнится этот коллапс, бо это все уже далеко зашло.
PS: хотя китайцы терпят, вон по слухам поди погляди, чего говорят. Еще не на всю катушку раскруеченно, но эксперимент давно стартовал…
ничем не выделяться и перестать быть уникальным
Полностью с Вами согласен. Если Вы имеете ввиду, что можете менять шкурки по выбору и их не отличить от натуральных...
https://habr.com/ru/articles/1030226/#comment\_29930568
Прежде чем ответить, прочитайте комментарий.
… а представьте теперь и в реальной жизни будем все ходить в худи с капюшонами. Неее, через пяток лет где-то шандарахнет и все зарегулируют.
Хотя… китайцы же терпят уже движуху… пока еще не на все 1984, но опыт стартовал…
Давеча осознал, что весь этот бардак с «отпечатками» — это ничто иное, как сцена:
(Бар, пивная) Заходит статный, прилично одетый мужчина, а все вокруг включая бармена начинают считывать его. Во что одет, марка пиджака и модель телефона, какую сигару курит, какой напиток заказал.
— окей, понятно, ничего не имею против, сам люблю повыпендриваться.
Но вы меня извините, то что вот это вот все — это уж чрез-чур…
Уже сколько было написано таких комментариев как под копирку "нормальным людям скрывать нечего". Вот вам простейший пример: завтра гугловская нейронка решает вам забанить гугл почту. Погоревав чуток и побившись о бесполезную техподдержку вы решаете зарегистрировать новую. И она будет отлетать в бан каждый день ровно потому что вы уникальная снежинка.
Если кто-то чего-то боится - поставить плагин для браузера, который полностью меняет слепок данных отдаваемых и все.
Собственно в этом и проблема что таких плагинов "все в одном" не существует. Иначе бы не существовало индустрии анти-детект браузеров.
Вам никогда не звонили, обращаясь по имени, из компании с предложениями товаров и услуг после того, как вы просто зашли на их сайт, не оставив явно никаких там данных или позвонили даже не им, а их конкуренту? Счастливчик. Это уже давно вышло за рамки таргетированной рекламы уникальной снежинке, профайл уже давно содержит номер мобильного и ФИО. В мебели, пластиковых окнах, натяжных потолках (с чем лично столкнулся при ремонте) это уже повсеместно. Просто зашёл на сайт — тут же получи звонок на телефон. Позвонил в одну фирму — получи с пяток звонков от других. Это уже не снежинка, это уже чёткое указание на конкретного человека с телефоном, ФИО и паспортом. И перехват лидов у конкурентов — это уже целая индустрия. Более того, в России это даже в целом законно.
Есть такое, особо бесит, что эти холодные звонилки напрочь уничтожили бывший когда-то общепринятым этикет телефонных разговоров. Позвонил, представился -представляемое юрлицо, должность, имя, только потом- "можно ли поговорить с семенсеменычем?" - так и только так должен начинаться деловой телефонный разговор, в противном случае сразу возникает агрессивное желание послать куда подальше, но приходится сдерживаться, что вредит здоровью. Держите плюс в карму из солидарности против агрессивных минусаторов.
и почему даже виртуальные машины и VPN не дают полной анонимности
начало заинтриговало, но в содержимом нету про виртуальные машины и что виртуальные можно соотнести с физической, слово вирту вообще только в затравке.
Практический пример, когда фингерпринтинг может вас поставить на деньги: есть такая практика, что авиакомпании (или агрегаторы билетов) повышают стоимость билета для тех, кто билеты присматривает. Например, вы выбираете себе билеты в Нигерию. Повыбирали, присмотрели и пошли обсуждать с женой и друзьями. Обсудили - летим! Назавтра вы заходите на сайт, а там бах, билеты то ваши ПРОДОРОЖАЛИ! А они подорожали просто потому, что сайт понял (фингерпринтинг), что вы второй раз их ищете, а значит высока вероятность, что уже ради покупки. Повод содрать побольше денежек!
Умный человек в такой ситуации заходит с другого компа и ip и покупает билеты дешевле.
У вас очень необычный пример, после вашего комментария, я вспомнил старый скандал. Инсайдер убера, а через время такая же новость с яндексом, что стоимость смарфона с которого делается заказ, а также уровень заряда телефона влияют на стоимость такси.
Конечно они заявляют о противном, но это лишь заявления.
Конечно они заявляют о противном, но это лишь заявления.
Там нейросеть, скорее всего. Они, наверное, и сами не знают, что именно влияет на стоимость такси.
Тогда ещё не было нейросетей.
Казалось бы, где тут Гражданский Кодекс, про одинаковую цену для всех потребителей услуги…
А никуда не делся гк, просто желающих посудиться очень мало. Меньшинство предпотут слегка поскандалить, а вот обратиться в суд- единицы из сотен тысяч. Другое дело, если гк поменять и позволить взыскивать ущерб, скажем, стократно, либо ввести минимальный моральный ущерб за любое нарушение прав потребителя где-то в 100к, эффект будет. Но тогда и потребительский терроризм резко активизируется, сложная тема.
И главное- убрать нафиг из гпк нафиг все слова про "в разумном размере", на усмотрение судьи- касаемо судебных расходов и выкинуть из гк и зозпп возможность снизить размер неустойки на усмотрение судьи.
Вот вот - "потребительский" суд против корпорации по умолчанию должен подразумевать что обратился один из тысяч в лучшем случае и учитывать это прямо.
Ну или ввести полноценно коллективные иски американского типа (где конкретному члену класса заплатят копейки вообщем то но их миллионы а вот юристам и тем нескольким представителям класса от имени кого иск - сильно побольше). Тут даже не важно кому деньги в итоге - важно что компании дешевле будет прекратить такое поведение.
Это очень обычный пример и такое сплошняком. Не знаю про uber, но яндекс такое тоже любит. Точнее там уровень заряда может влиять на то, кому предлагают заказ - с низким зарядом машины в 1-3 минутах находятся чаще, а при 100% чаще можно нарваться на 5-8 минут
Плюс они иногда практикуют такое, что стоит высокий спрос, хотя предпосылок особо и нет. Если соглашаешься, то тебе ещё чаще такое подсовывают.
Реально бывало, что с одной остановки проверяли на двух телефонах и была разная цена
Реально очень часто видел очень разное поведение, в том числе на маркетплейсах
Реально бывало, что с одной остановки проверяли на двух телефонах и была разная цена
Отойти на 10-20 метров в сторону - и на том же телефоне повторно в агрегаторе поискать такси - стоимость поездки пересчитывается, часто в меньшую сторону. Прошаренные пассажиры часто такое практикуют.
Точнее там уровень заряда может влиять на то, кому предлагают заказ - с низким зарядом машины в 1-3 минутах находятся чаще, а при 100% чаще можно нарваться на 5-8 минут
Ну - тут хоть как то логично - если низкий заряд - возможно тупо не успеет подъехать. А еще - у меня например бывает ситуация не раз когда Яндекс переключается по той или иной причине на наличные сам. Надо заходить в банковское приложение, смотреть что там (иногда - проблема там), заходить в яндекс и переключать назад (далеко не всегда яндекс требует оплатить задолжность перед следующей поездкой). Соответственно если опять переключилось и наличных у меня нет - будет скандал в таксию
Как уже сказали, это самый обычный пример, и именно это и является основной причиной использования фингерпринтинга. Конечно, чаще всего пользователя в упомянутом случае "палят" банальные неочищающиеся куки в браузере и всякие advertizing id от сервисов метрик, а не canvas-фингерпринтинг с точностью до устройства, но и он тоже практикуется, в первую очередь маркетплейсами и сервисами доставки. Лично был свидетелем того, как под одной и той же учеткой озона с двух разных устройств (смартфон и ноут) мне одновременно показывало разные цены на одну и ту же карточку товара - поэтому десять раз перепроверяю финальную цену в корзине и в карточке при любом заказе.
Про цены на такси уже сказали выше, но там вообще своя атмосфера, цены могут меняться не то что от состояния телефона и где ты стоишь, а вообще от абсолютно непонятных и неочевидных внутренних факторов (типа "надо ли водителю разворачиваться, чтобы подъехать к тебе") - когда раньше активно пользовался тындекс-такси, мог просто стоять на месте и в приложении двигать точку на карте туда-сюда - и цена плавала до полутора раз иногда.
Браузеры типа Brave не помогают от такого?
От реализации зависит. Иногда достаточно просто тут же рядом в другом бразуере открыть.
Они тоже фингерпринтятся. Ранее для обхода юзал айпад с разными учетками эппл- позволяло даже авс амазон акки регать пачками с одного устройства и без запроса сканов документов, но это давно было. В том случае каждая учетка эппл имела свой фингерпринт, который амазон детектил как уникальный.
По-моему, статья как раз о том, что заход с другого компа/IP может помочь для "разовой" транзакции, но не спасет "вдолгую." Ваши новые отпечатки свяжутся со старыми. На все транзакции не напасешься отдельных компов/IP и т.д. Надо по умолчанию предполагать, что все что сделал в онлайне остается вкладом в фингерпринт.
Нордвинд страдает таким, был инцидент, что когда то покупал там билеты. Спустя полгода зашёл, авторизации уже не было, куки чистые были. Они определили мой визит и уже на ту почту, на которую покупал билеты, пришло письмо с тем, что я интересовался этим билетом.
И при всём при этом в некоторых случаях точность может доходить уже до 90%
Исследователи называют его высоким по энтропии: если собрать 30–100 характеристик, можно получить уникальный отпечаток для подавляющего большинства устройств.
Вот определите вы один параметр с вероятностью 0.8, другой 0.7 - общая вероятность попадения в цель уже 0.56. Вероятности умножаются, а не складываются... Какую идентифицирующую информацию из этого можно вытянуть, непонятно.
Здесь логика не совсем такая: фингерпринтинг - это не угадывание «правильного значения» с вероятностью, а задача разделения пользователей по признакам. Эти признаки не независимы и не дают «шансы попасть в цель», поэтому их нельзя просто перемножать как 0,8*0,7. Вместо этого система смотрит на совместное распределение параметров и их энтропию: каждый новый признак не «умножает вероятность», а сужает множество кандидатов. В итоге речь не о том, чтобы с какой-то вероятностью угадать конкретного пользователя, а о том, что его отпечаток либо совпадает с кем-то ещё, либо оказывается уникальным в выборке - и именно это даёт те самые 90% «уникальных» отпечатков, а не «точность угадывания», да при необходимости различные структуры возможно могут по этим признакам найти конкретного юзера, но это уже параноя.
Сложно объясняешь. Вообще не понял к чему выше перемножение вероятностей приплели. Тут обычный метод дедукции, как фильтры с диапазонами. Каждый следующий фильтр отсекает неподходящих кандидатов. Так же, как ищешь человека в соцсети, например. Маша, г. Москва - 300000чел, ВУЗ МГУ - 2000чел, год окончания 2007 - 30чел, месяц рождения сентябрь - 2чел, и обе страницы принадлежат одному человеку.
Это не паранойя. Почитайте справку той же мяты, она именно так и делает+проводит дедупликацию, в итоге эффективность сопоставления с конкретным аккаунтом 90+%
Умножаются, только вы не то умножаете. Здесь нужно умножать не вероятность угадывания (0,8х0,7), а вероятность неугадывания. В данном случае вероятность неугадывания получается 0,2х0,3 = 0,06. Т.е. только этих двух присутствующих признаков с точностью 0,8 и 0,7 достаточно для того, чтобы быть увереным на 94%.
Upd. Не, я сам немного запутался и вроде бы что-то упустил, но смысл примерно такой.
А то что вы посчитали, это с какой вероятностью у случайного пользователя окажутся эти оба признака.
Вы правы в части чистой математики теории вероятностей, а ваш оппонент - прав в части её применения в реальных условиях.
Днём +30℃, вечером +15, на другой вкладке у меня работает ютуб, потом ролик кончился, завтра Хром обновился, потом я отключил в настройках ускорение видеокарты… Вносимые в каждый тип фингерпринтинга шумы и флуктуация метрик сводят на нет однозначность определения.
Система: “Маша, г. Москва -> 300000чел, ВУЗ МГУ -> 2000чел, год окончания 2007 -> 30чел, месяц рождения сентябрь -> 2чел -> обе страницы VK - её” работает пока параметры поиска неизменны. А если через 5 минут она не Маша, а - Катя, а завтра она стала не из Москвы, и ВУЗ вдруг стал МГТУ, и она в нём не доучилась…
что говорить если мобильный оператор видит все посещения сайтов в связке к телефонному номеру и предоставляет сервисы по рекламе и рассылке исходя из посещений, тут уже не цифровой отпечаток а прямая связка телефона и всех посещений, да, это другое но в тематику
приватность - это вопрос правильно настроенного VPN. Надел виртуальный плащ, скрыл IP‑адрес, и можно спокойно гулять по сети
VPN не скрывает IP-адрес, мало того, если у вас свой личный VPN сервер, то мерджить ваши сессии по VPN адресу гораздо проще, чем когда вы ходите напрямую с серым ip через cgnat крупного провайдера.
Потом я впервые услышал выражение «digital fingerprinting» — цифровой отпечаток
Fingerprinting активно используется сервисами уже лет 15-20.
Если вы беспокоитесь о приватности
То, для начала, определите для себя термин "приватность" и уже исходя из него определяйте модель угроз и используемые средства. Ничего этого в статье нет.
TOR browser специально заточен на противодействие фингерпринтингу.
проблема в том что он практически неюзабелен в 2026, потому что наверно 80-90% сайтов его забанили, особенно крупные + очень медленный и заблокирован в РФ, хорош только доступом к onion ресурсам
есть mullvad browser, насколько я помню они взяли за основу tor browser только вместо сети тор используют адреса своих vpn-серверов
есть brave со встроенным антифингерпринтом, хз насколько он эффективен
есть и другие менее известные проекты
А также Tails и Whonix, которые анонимизируют человека полностью.
https://www.torproject.org/about/supporters/
U.S. Department of State: The mission of The U.S. Department of State is to protect and promote U.S. security, prosperity, and democratic values and shape an international environment in which all Americans can thrive. The U.S. Department of State is supporting a grant to improve censorship circumvention through Tor tools.
И?
Having a diverse user base means we have diverse funding sources, too. Our goal is to continue diversifying our funding. To inquire about sponsorship, please email giving@torproject.org
Все прозрачно и оптимистично. Будем в тренде.
Ага, "Интернет придумало ЦРУ" (с)
Это как с роботами от Boston Dynamics. Придумали они, а спонсировали darpa, у коего спонсор цру.
И да, это одновременно и странно иитайнственно и настораживает, но по сути с той или иной целью они делятся с нами некоторыми своими проектами.
Это просто доя справки. Что бы ребята не сорились, ведь все по своему правы. Дай бог здоровья цру))) не дараом они же потом и тор нам слили и роботов и сам интернет в некой степени. У менч давеча еще и закралась идея, что крипта с биткоином тоже мх проект, но эту историю пока держат в тайне, то ли из-за забавного хайпа вокруг Сатоши, то ли решили поменять стратегию втконкретном случае (и не раскрывать себя), то ли еще не отработали там чего-то, то ли это был слив и решили так замять. Этот все догадки, так что не думайте))))
Лет 10 назад 4пда вполне палил мультиаккаунт с TOR браузера.
10 лет назад использовались flash-куки от Adobe Flash Player (https://habr.com/ru/articles/111176/), для Куки до 100 КБ Flash даже не запрашивал разрешение о хранении. Их юзер не мог просто так ни посмотреть, ни стереть (сделать это можно было только на сайте Adobe).
Да. В Tor некоторые JS API отключены совсем для этой цели. Например, там нет WebRTC.
Значит ожидаем новое поколение vpn, компьютеры тоже в нейросети уже превратились также с vpn может эволюционировать.
Есть специальные решения-браузеры и виртальные машины заточенные под обходы фингерпринта, иногда даже конкретно под какой то сервис
И даже больше- есть такие решения, которые могут выдать чужой фингерпринт, замаскироваться под другого человека. Но глупо верить сервисам, созданным для обмана- наверняка они копят информацию об их использовании, авсоь компромат пригодится. Ну и подсматривают "темы" - схемы применения софта - это как пить дать.
статья опоздала лет на 10
Таки да. Фингерпринт был ультой в эпоху Windows PC, отсутствия заморочек о приватности, и наличия флеш-плеера, которому можно навязать флеш-куку и пробить инкогнито и чистку кук. Фингерпринтить те же яблочные девайсы - занятие практически бессмысленное, с остальным чуть лучше, но, смотря для чего.
Я бы сравнил с распознаванием человека по голосу и лицу. 10 лет назад это было, как распознавание по лицу. По одной фотке можно по всей базе вк безошибочно найти того самого, причём, с фотками с разницей в 10 лет. Сейчас - что-то сродни распознаванию по голосу. Имея образец, можно с некой вероятностью сказать, этот ли человек зашел. То бишь, валидировать реляцию 1-1. Но вот, делать лукап 1-N, типа, найди в базе, имея фингерпринт (или голос человека) - нереально
Вообще-то это довльно старая технология. И при чем тут VPN? Зачем это сравнивать?
VPN решает только одну задачу - подменяет сетевой адрес
И еще шифрование трафика. Ну и контроль геопозиции. Больше от него и не нужно.
И еще момент, поскольку упоминалась анонимность. Фингепринт - это про браузер. Поэтому, пока отпечаток не связан с другими данными пользователя, это также не имеет отношения к анонимности - речь только о браузере, не о пользователе.
Фингерпринт - это не только про браузер. Браузерный fingerprinting просто самый известный и массовый пример, потому что его можно собирать через веб: User-Agent, Canvas/WebGL, шрифты, расширения, язык, часовой пояс, размеры экрана, особенности рендера и так далее.
Но сама идея шире: это идентификация устройства, среды или клиента по набору косвенных признаков. Такой отпечаток может собираться не только сайтом в браузере, но и мобильным приложением, игрой, десктопной программой, антифрод-системой, лаунчером, SDK аналитики или рекламной библиотекой.
Например, в играх и античитах fingerprinting может использоваться для выявления повторных аккаунтов, обхода банов, подозрительных конфигураций, эмуляции и читеров. В маркетплейсах и финтехе - для risk scoring: понять, что пользователь зашёл с нового устройства, с подозрительной среды, через эмулятор, с изменёнными параметрами системы или с признаками автоматизации и по этим признаком могут предлагать скидку или нет.
И вот тут уже начинается связь не просто с браузером, а с пользователем. Сам по себе отпечаток действительно не равен личности. Но если он связывается с аккаунтом, номером телефона, картой, историей покупок, адресами доставки, поведением в приложении и другими сервисами одной экосистемы, он становится частью профиля пользователя.
Особенно серьёзная ситуация - крупные цифровые экосистемы. У них есть не только технический отпечаток устройства, но и логины, платежи, доставка, география, история поиска, покупки, поведение в приложениях, иногда ещё и данные из нескольких связанных сервисов. В таком контексте fingerprint уже не просто «отпечаток браузера», а один из идентификаторов, который помогает склеивать действия в разных средах, по возможности предлагать различные товары, скидки, повышать стоимость и так далее.
Смотрите шире на области применения. Я лишь показал самые базовые и "этичные". А также не связанные с ФСБ и другими структурами различых государств, думаю в той области применение намного более "продуктивное"
Так а я о чем написал? Я и написал, что сам по себе отпечаток - это не про анонимность, если нет привязки к ПД. И в чатах разных то же самое.
А с привязкой к ПД это только лишь доп. параметр, ничего не говорящий. Ну видим мы, что отпечаток поменялся. И что дальше? Новое устройство или новый браузер или удалены шрифты или настройки поменял пользователь или еще чего? Мы не знаем этого.
А в коммерции вообще не должно быть важно, откуда зашел пользователь, если он авторизовался. Нам важнее знать данные, привязанные к аккаунту - история покупок и т. п. Какая разница, откуда он зашел. Это только злит.
Так что отпечатки нужны лишь как доп. способ чего-то. Но дают мало полезной информации, на самом деле.
Вот тот же гугл уже задолбал со своими проверками. Мне проще новый акк создать, чем проходить все эти верификации. В итоге гугл тупо теряет всю мою историю, как пользователя.
И если смотреть шире, что огромное количество наворотов, которые сейчас существуют, попросту не нужны и даже вредны.
Безопасность (Sandboxing): Браузеры специально изолированы от операционной системы. У них нет прямого доступа к сетевому оборудованию компьютера.
КВН сюда явно приплетен для хайпа этого нейроскола.
Песочницы браузеров просто не дают запустить файлы и модули с текущими привелегиями (Intrgrity Lavel) специально снижая их до Untrusted (на этом уровне например Java скрипты работают в браузере ). Да фингепринт снимается с железа тем же OpenGL и прочими API на уровне самого движка, еще есть реальная зараза - не удаляемые зомби-куки и суперкуки. От этих напастей есть различные расширения, антидетект браузеры, типа дельфина, из обычных - Brave и Firefox, если правильно покопаться в скрытых настройках. Ну на край тор браузер и вообще запуск на отдельной виртуалке.
Посмотрел в сторону Gologin браузер.
Песочницы браузеров спасут от скриптов посещаемых сайтов, но верить, что тот же хром самостоятельно не собирает все о пользователе, до чего он дотянется крайне наивно. Ну и нельзя отвергнуть версию, что для некоторых "доверенных" для гугла корпораций сделаны исключения в плане безопасности. По косвенным признакам, крупные владельцы бигдаты инфой между собой обмениваются (гугл, амазон, яху, оракл итд). Когда речь идет о безопасности, применима презумпция виновности- любой софт от крупной корпорации должен считаться шпионским и вредоносным, пока не доказано обратное.
Сколько пробовал всякие неудаляемые куки, нихрена ни один вариант не сработал, из публичных по крайней мере)
Обычно все (небезосновательно, конечно) любят на чем свет стоит чехвостить программистов из РКН, которые [нужное подставить]. А на мой взгляд, для глобального интернета куда как вреднее те бесчисленные команды разработчиков, которые в огромного числа организациях, от big-tech и Большого Брата [АНБ, Моссад, нужное подставить] до последнего ООО "Пупкин и сыновья" на угоду запросам из отдела маркетинга кодируют вот такие всевозможные отслеживания. И с каждым годом - всё изощрённее и изощрённее. Если уж кому из программистов гореть в аду - то именно таким вот.
Ощутили на себе эффект "этодругое"?)) Держите плюс в карму, чисто из солидарности перед ордами минусаторов. Тут почему-то только на ркн помои лить принято.
Наверно, потому что степень вреда несравнима?
А это кому как. Лично мои интересы, как и интересы других тысяч людей из РФ давно страдали от рандомных блокировок аккаунтов (в том числе и по причине схожих фингерпринтов), инициированных западными корпорациями. И нам вред не раз причинялся весомый. А в меньшей мере страдают интересы вообще пользователей интернета по всему миру, просто ухудшали его длолго и постепенно, от того люди уже спокойнее стали воспринимать и то, что тупят интернет-страницы, открытые в браузере даже самого мощного игрового компа, и на вечные смены интерфейса, и отстутствие обратной совместимости при выходе новых версий софта, и само обновление софта зачастую без прямого и ясного согласия пользователя, и алерты раздражающие уже не на электронную почту, а непосредственно в ос уведомления встроили, и к пушам в хроме привыкли, хотя они бесили всех, кроме тех, кто их рассылает. Просто процесс дерьмофикации интернета и софта растянули лет на 15, от того западные штучки не кажутся сейчас такими дикими, как штучки от ркн. Софт от крупных корпораций давно превзошол во вредоносности все известные зловреды. И огораживаться от РФ, кстати, многие начали даже до массовых санкций от 2022 года, знаю, как пользователь банкинга сша тех времен и как постоянный покупатель в интернет- магазинах сша.
Сравнивая все это с изоляцией чебурнета вообще - для меня и многих очевидно, что хуже. Хотя бы потому что западными корпорациями можно не пользоваться (юзать linux и duckduckgo), а не пользоваться интернетом куда хуже.
И я линукс предпочитаю, но проблема не только в ос, а еще и в централизованных сервисах. Уверен, именно в большой централизации всех этих ютубов, вотсапов и телеграмов и кроется главная проблема конечных пользователей. Когда-то давно предпочитал общаться в аське и джаббере, сильно меньше народа из моего контакт-листа была в скайпе. И тут появились вотсаппы с вайбером, там во-первых регнулись те люди, которые ранее вообще не использовали инет как одно из основных стредств общения, и таких людей стало даже больше, чем аудитории аськи и жабы. Ну а после того, как большинство знакомых из реального мира уже в мессенджерах, с которых по началу плевался, уже под давлением большинства и я в вотсаппах с телегами появился, хотя мне категорически не нравилось то, что позже назовут сим-рабством. Тогда для старожилов интернета это казалось чрезмерным вторжением корпораций в личное пространство, но мы это схвавали- куда ж деваться, когда большинство уже в новомодных мессенджерах. А те средства обменом и потребления информации, в которых сидит уже большинство населения неизбежно вызвали интерес государств и их регуляторов, во всех странах. И произошло это благодаря их централизации, когда пара процентов населения сидела в аськах и джабберах на разных серваках, они не были интересны государствам. Аську таки выкупили, а неугодные сервера джаббера нейтрализовывались без ущерба для всех пользователей этого мессенджера.
Ну и как обычно у путиняшек коварный запад виноват в том что начальник и он сам дураки :)))
Это иллюзия, что во всем остальном мире до ваших данных дела никому нет и они их во вред не используют. В глобальную слежку вложены триллионы денег, но использовать они их не будут, ага. Или от того, что они их используют вреда не будет, ведь они Априори добрые и зла вам не желают, интересы ваши совпадают. А с чего такая уверенность? Цифровой портрет с четкой привязкой к личности можно использовать от разведки до социальной инженерии. Но все почему-то считают, что их это не коснется
Так это обычные сорта известно какой субстанции. Зачем создавать на ровном месте ложную дихотомию, говоря: они вон как глубоко сапог суют, а у нас-то ещё по-божески, до носка только! (Я не минусовал, если что, презираю систему кармодрочерства).
На программистов нечего жаловаться, — всему виной бизнес, маркетинг и прочие шолупаи мо своими индекскми и ростом, но точно не программисты, как класс.
На HighLoad++ был отличный доклад про фингерпринтинг в капчах для защиты от скрейпинга:
Проблемы при масштабировании сервиса для обхода антибот-систем:
Спасибо за статью. Публичная часть fingerprinting всегда отстаёт от современных способов. Поэтому когда Mozilla меняет canvas‑изображение, а Safari внедряет шум в показания аудио‑и Canvas‑API, я понимаю, что уже появились другие методы fingerprinting-а, а старые способы просто "сливают" под соусом борьбы за приватностью.
Фингерпринтинг активно используется для бана всяких хитрецов в браузерных играх, на форумах и т.п. Когда надо надёжно забанить человека без возможности обхода.
Добавляем его текущий IP в базу банов.
Сервак на это реагирует заносом его fingerprint в ту же базу.
Как только находим коннект с тем же fingerprint - IP того коннекта сразу в базу.
Как только на этом новом IP человек догадывается поменять браузер, он палит новый fingerprint
С этим новым fingerptint человек заходит с третьего IP, его тоже банят
Ну в общем, да, можно обойти, но для обычного рядового быдлы, как мы с вами, которое не будет особо корячиться и что-то дебажить, хорошая прибавка к пенсии! Всмысле, к методам пробанирования.
Библиотек этих фингерпринтовых целая гора, я где-то в 2016 году видел первую, которая мне показалась уже тогда навороченной - я оттуда воровал идеи canvas/WebGL-фингерпинтов для своего проекта.
А что творят современные серьёзные fingerprint библиотеки и подумать страшно, они там отдают вектор штук из 500 признаков. Ясно, что завязываться на весь вектор нельзя, потому что какой-то параметр может поменяться случайно даже для одного клиента. Можно передавать на сервер весь вектор, а исследователи-админы на сервере будут уже решать какие компоненты вектора брать в признак пробанирования, а какие нет.
Вот это до тебя как до жирафа, конечно))
По оценке исследователей из индустрии маркетинга, сочетание десятков атрибутов (версия браузера, операционная система, язык, часовой пояс, разрешение экрана, установленные шрифты и плагины, характеристики GPU/CPU, IP‑адрес, Canvas/WebGL и аудио‑отпечатки) позволяет создать статистически уникальный идентификатор. Исследования показывают, что такие комбинации позволяют уникально идентифицировать более 90 % устройств - даже если вы удалили куки.
Какие исследования, кто проводил, первоисточник информации какой?
Лет эдак n-дцать назад (а вообще не было такого и всё неправда) собеседовался (скорее - поболтали) в стартап B2B, занимавшийся чем-то похожим, но фингерпринт они, насколько помню, собирали из паттернов пользовательского поведения - движение мышкой в браузере итд.
Не знаю, насколько на тот момент у них был освоен ML, но в команде был сильный мат./прог. олимпиадник.
Я очень близок к этой теме, потому что проработал в fingerprint.com 4 года, занимаясь непосредственно программированием фингерпринтинта.
Как отмечено в статье, у технологии фингерпринтинга есть существенное ограничение: точность. Фингерпринтинг не позволяет следить за конкретным устройством, потому что есть куча других устройств с таким же фингерпнитом (это особенно сильно выражается на айфонах), и есть немалая вероятность, что завтра фингерпринт устройства поменяется. Поэтому фингерпринтинг не подходит для маркетинга (создания рекламного профиля пользователя). В подовляющем большинстве случаев фингерпринтинг используют для безопасности: защита от взлома аккаунта и защита от аккаунт-шеринга. Причём смена фингерпринта сама по себе не блокирует доступ к аккаунту, а является сигналом для проведения дополнительного фактора аутентификации. То есть фингерпринтинг используется для снижения трения, вызываемого мерами безопасности.
И тут внезапно оказывается, что даже две одинаковые GTX 1050 TI ведут себя не совсем одинаково. Разница в микросекундах, но она стабильна.
Это не выходит за рамки исследований. Нет технологии, которая подходит для использования на практике. Одно из важных требований, которые клиенты предъявляют к фингерпринтингу — это скорость. Пользователь не должен ждать 5 секунд на экране авторизации, пока проводится фингерпринтинг. А подобные методики, измеряющие тайминги, требуют десятки секунд для работы.
Из‑за различий в звуковых картах, драйверах и процессорах сигнал слегка искажается, и эти искажения стабильно повторяются.
Аудио-фингерпринтинг не так хорош, как кажется. Если посмотреть исходный код браузеров, то окажется, что аудио сигналы обрабатываются полностью на процессоре. Звуковая карта и драйверы не участвуют.
Спасибо, за лучший комментарий!
Надеюсь Вы сейчас не оправдывайте все эти биржи а просто делитесь.
Я вот не понимаю, как нагрев видеокарты может идти в «отпечаток», там же флуктуации температуры, вентиль тоже по разному крутится.
Поэтому даже бесполезно целый час снимать эту метрику. Или как? Ничего не понимаю…
Ну запишет он что за час видекартатменя три редима работы вентилятора, и имела такие диапазоны температуры, и что? Через час же покажет два сиена режима, а кще через снова три. Да, стровится понятно, когда клиент активен, или наоборот. Это что ли?
Блин… Ну как вы пишите, оператор выбирает если эта метрика нужна и выкидывает. Сложная наверно работа…
Получается итог:
Пылесосят много инфы, но хранят не все?
Ну супер. Весело живем получается.
Я не погружался глубоко в то, как работает фингерпринтинг через сбор таймингов видеокарты. Мы не использовали эту технологию, потому что она требует долгого времени для сбора информации с устройства пользователя, а клиенты фингерпринтинга хотят, чтобы фингерпринтинг проходил быстро (в пределах секунды).
Когда-то был золотой век диагностической психологии и разработанные различные методы вроде тестов MMPI, Роршаха и иже с ними позволяли получать довольно достоверные, объективные сведения о личности так как валидность и надёжность этих методов считались (да и считаются) высокими. И как бы человек не юлил, пытаясь скрыть особенности своей психической организации, они позволяли увидеть его настоящность.
До какого-то времени эти методы были прерогативой очень ограниченного круга лиц и даже имели гриф секретности, как правило ДСП — для служебного пользования. Разумеется, были утечки специализированной информации, но носили они крайне ограниченный характер.
Однако, благодаря, в частности, и интернету, сами тестовые методики, их интерпретаторы и ключи к ним стали условно общедоступными и у любого обывателя, проявившего известное усердие, появилась возможность досконально изучить их и, соотвественно, использовать в своих, чаще всего, шкурных интересах, позволяя без особого труда "впаривать" о себе искажённую, ложную информацию.
О чём это я? Ах, да... Если кто-либо в теме, так называемых, цифровых отпечатков и сбора информации, он предпримет необходимые действия для её искажения или сокрытия.
Надел шапочку из фольги и дальше пошел юзать Librewolf для нормального интернета через прокси и Chromium для всего из РФ.
А если браузер написать с нуля, грубый, без наворотов, закрыть максимум информации — тогда фингерпринт обломается?)
Отчасти. Будет утекать то что вы отдаете на сайте гугла, фейсбук, прочие.
зашли на поиск гугла, отдали ему кривой отпечаток браузера, ос ещк что смогли сделали кривыми, но сам ввод в строку поиска вы же не скроите. Вот это гугл сохранит. Сохранит час в котррый вы этот запрос ввели, и так далее. Но ладно гугл, он то ладно.
А вот остальные ребята будут получать больше шума, но весь фингерпминт вы не вырежете. То есть локальные утечки будут идти. Посмотрели вотку в инсте и позвонили любовнице через ватсапа — кое какю инфу они межлу собой утекут от вас.
Но пол дела вы сделаете, если напишите браузер с нуля. ИИ Вам в помощь))) шучу. Но я уже понял куда Вы клоните. Тут есть много свежих статей, как проверять код неписаный ИИ. При определенном усердие у Вас получится 😉
А зачем в названии статьи "почему VPN БОЛЬШЕ не спасает" ?
Разве VPN спасал от Fingerprint ?
Используя VPN, вы с большей вероятностью будуте подвержены фингерпринтингу. Потому что использование VPN — это звоночек для систем безопасности, что может привести к усилению мер безопасности, в том числе прохождению каптчи и фингерпринтинга.
Перечитал ваш ответ несколько раз, пытаясь понять, каким образом он связан с моим вопросом. А он связан с моим вопросом?
Не согласен с вашим утверждением и его связностью. Возможно, вы путаете публичные и личные VPN. А возможно, я просто не понимаю вас, и буду рад, если вы подробно объясните:
1. Почему пользователь, использующий VPN с большей вероятностью будут подвержен фингерпринтинту? (особенно сейчас, когда половина мира сидит под VPN)
2. Почему использование VPN - это звоночек для систем безопасности ? Имеется ввиду VPN без наличия ip в Spamhaus, IPinfo и тд.
3. Как система безопасности отличает пользователя с ЛИЧНЫМ VPN с шведским (провайдерским) IP от пользователя находящего в Швеции?
4. Почему использование личного VPN может привести к усилению мер безопасности ?
5. Суть капчи в том, чтобы отсечь автоматические скрипты и боты, а суть фингерпринта в том, чтобы отличить одного пользователя от другого (без идентификации). Как прохождение капчи и fingerprint связаны с мерами безопасности?
Мой комментарий — это не ответ на ваш вопрос. Просто к слову написал.
Посмотрите пункт 2. Если пользователь это потенциальный скаммер, то нужно произвести усиленные проверки безопасности, в том числе провести фингерпринтинг (например, чтобы сопоставить фингерпринт с базой фингерпринтов известных скаммеров).
Потому что VPN — это способ анонимизации. А скаммеры скрывают свою личность и местонахождение.
На любом сайте с информацией об IP вы можете посмотреть, является ли IP резидентским, или принадлежит датацентру. Принадлежность датацентру — это явный признак VPN. Бывают VPN с резидентскими IP, такие намного сложнее детектить.
Смотрите пункт 1.
Вы сами написали, что каптча нужна, чтобы отсечь автоматические скрипты. Прохождение каптчи — это относительно сложное действие для человека. Некоторые пользователи отказываются проходить каптчу и уходят с сайта, что приводит к падению выручки. Чтобы терять меньше выручки, сайты не требуют прохождения каптчи в некоторых случаях. Например, когда фингерпринт пользователя совпадает с его обычным фингерпринтом. Аналогично делают с первым и вторым факторами аутентификации.
Наш диалог выглядит так:
Я: Разве VPN спасал от Fingerprint ?
Вы: Используя VPN, вы с большей вероятностью будуте подвержены фингерпринтингу.
Я: Почему пользователь, использующий VPN с большей вероятностью будут подвержен фингерпринтинту?
Вы: Если пользователь это потенциальный скаммер, то нужно произвести усиленные проверки безопасности, в том числе провести фингерпринтинг.
А причем тут потенциальный скаммер? Мы говорим о среднестатистическом пользователе VPN.
Когда 16 лет назад я произносил слово VPN, меня понимали только 2-3 человека, а сегодня даже мой 4-летний сын с аутизмом сам заходит в PlayMarket и скачивает новый vpn, когда у него не работает youtube. VPN перестал быть инструментом только для скамеров и проф-пользователей.
Давайте сегодня будем говорит о сегодняшних реалиях, в котором как минимум 80% пользователей VPN - это не скамеры.
Я: Как система безопасности отличает пользователя с ЛИЧНЫМ VPN с шведским (провайдерским) IP от пользователя находящего в Швеции?
Вы: На любом сайте с информацией об IP вы можете посмотреть, является ли IP резидентским, или принадлежит датацентру.
Я почему-то выделил в своем вопросе ЛИЧНЫЙ и в скобках указал (провайдерский). Привожу конкретные примеры в вопросах, вы отвечаете общими фразами, игнорируя условия вопроса. Да и многие провайдеры (Mullvad, Proton, iVPN и т.д.) специально дают residential-like IP, которые очень сложно отличить от обычных домашних.
Ваша аргументация "VPN = подозрительно" устарела лет на 10 минимум.
И ответ на мой вопрос №3 с учетом озвученных условий = Никак!
Используя VPN, вы с большей вероятностью будуте подвержены фингерпринтингу.
Но ведь это действительно верно при двух условиях
а) ресурс может определить что вы пользуетесь VPN
б) количество vpn пользователей < общего количества пользователей. (как бы факт самоочевиден но тем не менее)
Тогда достаточно очевидно что факт пользования VPN сужает выборку пользователей а значит способствует фингерпринтингу.
Касательно спора про IP, все же стоило изначально использовать вместо "провайдерский" слово "резидентский". Ну и ввиду не гуманности ценника на чистые резидентские IP это не то что бы частая история или как принято сейчас говорить "что-то на богатом".
Ну и вдвойне забавно что это как раз и отвечает на ваш изначальный вопрос о связи фингерпринтинга и VPN.
Да VPN(в том просторечном смысле котором его понимают сейчас в широких народных массах, то есть по сути Proxy) спасал от простейшего фингерпринтинга только по IP который существовал в прошлом.
Как сайты собирают цифровой отпечаток пользователя — почему VPN больше не спасает (О Fingerprinting)