بصمة المتصفح: لماذا يتعرّفون عليكم حتى لو حذفتم كل شيء

في المقال الافتتاحي قدّمتُ بصمة المتصفح تقديماً موجزاً فحسب — بما يكفي ليتّضح أنها موجودة وأنكم لا تُخفونها بحذف ملفات تعريف الارتباط ولا بالـ VPN. اليوم أنظر إليها في العمق: من يجمعها، وإلى أي مدى أنتم نادرون بسببها، والأهم من ذلك ما الذي يمكن فعله فعلاً حيالها.

من يجمع البصمة ولماذا

للبصمة وجهان مختلفان تماماً، ومن الإنصاف ذكرهما معاً. الوجه الأول هو صناعة الإعلان والتحليلات — شركات تريد أن تعرف أنكم الزائر نفسه الذي زارها بالأمس، حتى بدون ملفات تعريف الارتباط، لكي تبني لكم ملفاً وتستهدفكم بالإعلانات. أما الوجه الثاني فهو أمان الخدمات المصرفية والمدفوعات. عندما تسجّلون الدخول إلى الخدمات المصرفية عبر الإنترنت أو تدفعون ببطاقة على الشبكة، يقارن المصرف في الخلفية بصمة جهازكم بالبصمة التي يعرفها من قبل — وإذا صار الدفع فجأة من جهاز مختلف تماماً من الطرف الآخر من العالم، ينتبه النظام. في هذه الحالة تكون البصمة أداةً ضد الاحتيال، لا ضدكم. التقنية نفسها، والغرض معاكس. ولهذا بالذات لا يمكن حظر البصمة بصورة شاملة — يمكن فقط الحماية من الوجه الأول، لا من الثاني.

إلى أي مدى أنتم نادرون في الحقيقة

المبدأ بسيط: كل خاصية منفردة من خصائص جهازكم — نوع بطاقة الرسوميات، والخطوط المثبّتة، ودقة الشاشة، وإصدار النظام — لها في ذاتها قيمة استدلالية ضئيلة، لأنكم تتقاسمونها مع آلاف الأشخاص الآخرين. لكن اجمعوا عشرين منها معاً، وتصبح التركيبة «هذه الرسوميات بالضبط، وهذه الرقاقة الصوتية، وهذه المجموعة من الخطوط، وهذه الدقة» نادرةً على نحو مفاجئ، وكثيراً ما تكون فريدة بين مئات الآلاف من الأجهزة الأخرى. إنه المبدأ نفسه القائم على بصمة الإصبع — الخط الحليمي المنفرد لا يقول شيئاً، أما النمط الكامل فيحدّد هوية الإنسان.

إن أردتم أن تروا بصمتكم بأعينكم، فهناك أداتان مجانيتان جادّتان تستحقّان التجربة: coveryourtracks.eff.org و amiunique.org. تريانكم خلال ثوانٍ قليلة مدى تفرّد جهازكم بين أجهزة سائر الأشخاص الذين جرّبوا الاختبار أيضاً. أنصح بقياس البصمة الآن، ثم مرة أخرى بعد أن تجرّبوا بعض التوصيات أدناه — ومقارنة ما تغيّر.

المتصفحات بحسب قوة الحماية

ليست كل المتصفحات تتعامل مع البصمة بالطريقة نفسها، ويجدر بكم معرفة أين يقع الحدّ بين الحماية العادية والحماية فوق المستوى.

أقوى نهج لدى Tor Browser وما يبنى عليه Mullvad Browser. كلاهما يقوم على فكرة بسيطة لكنها ذكية: بدلاً من محاولة جعل بصمة كل مستخدم مختلفة قليلاً، يحاولان جعل البصمة متطابقة تماماً لدى جميع المستخدمين دفعةً واحدة. فإن بدوتم مثل ملايين الأشخاص الآخرين الذين يستخدمون المتصفح نفسه تماماً، ضعُفت فاعلية البصمة بذلك ضعفاً واضحاً. إنها أداة للحظات التي تحتاجون فيها إلى أعلى قدرٍ ممكن من التكتّم، لا للتصفح اليومي الاعتيادي.

أما Brave، الذي أنصح به معياراً معقولاً لكل يوم، فيسلك طريقاً آخر — إذ يغيّر بلطف وبصورة عشوائية القيم التي يقرأها الموقع، في كل مرة تغييراً مختلفاً قليلاً. وهو يؤدّي عمله جيداً ضدّ التعقّب الاعتيادي، مع أنّ من الأمانة القول إنّه مع ما يكفي من المحاولات المتكررة يمكن فكّ هذه الحماية العشوائية جزئياً. لكنّه ضدّ متعقّب الإعلانات الاعتيادي حمايةٌ كافية ومجانية، ولا يتطلّب منكم أيّ إعداد فوق ذلك.

ولدى Firefox خيار متقدّم مخفيّ، resistFingerprinting، يفعل ما يشبه ما يفعله Tor Browser، لكنه موجّه أكثر إلى المستخدمين المتقدّمين — إذ يستطيع أن يُعطّل الأداء الطبيعي لبعض الصفحات، كأن يعرض المنطقة الزمنية على نحو خاطئ. ويضيف Firefox تدريجياً حمايةً أدقّ وافتراضية لا تتطلّب تشغيل أيّ شيء يدوياً ولا تُعطّل الموقع في الوقت نفسه. أما Safari فقد اعتمد طويلاً على حجب عناصر التعقّب التابعة لأطراف ثالثة أساساً، لكنه اليوم يملك أيضاً حمايةً مباشرة ضدّ البصمة — إذ يُدخل قدراً ضئيلاً من التشويش على القيم التي تقرأها سكربتات البصمة، فتخرج البصمة في كل مرة مختلفةً قليلاً. وفي أحدث الإصدارات صارت مُفعّلة في الوضع الافتراضي لكل تصفّح، بعد أن كانت تعمل سابقاً في النافذة الخاصة فقط.

لماذا لا يكفي وضع التصفح المتخفي والـ VPN

هذا هو التصوّر الخاطئ الأكثر شيوعاً الذي أصادفه. وضع التصفح المتخفي أو النافذة الخاصة يحدّ فقط من الأثر المحلي — بعد الإغلاق يحذف السجلّ وملفات تعريف الارتباط وبيانات الجلسة المعنية — لكنّ البصمة تُقرأ آنياً، في اللحظة التي تفتحون فيها الصفحة، وهي متطابقة تماماً سواء سرتم في نافذة عادية أو خاصة. وكذلك الـ VPN، التي كتبتُ عنها المرة الماضية، لا تغيّر إلا ما يبدو أنكم قادمون منه — أما بصمة الجهاز نفسها فلا تمسّها البتّة. تعمل الحمايتان على مستوى مختلف، وكلتاهما مفيدة، لكن أياً منهما لا تحلّ مسألة البصمة.

وأنّ الأمر ليس تهديداً نظرياً فحسب، بيّنته قبل بضع سنوات قضيةٌ وصلت حتى المحكمة في الولايات المتحدة. واجهت واحدة من أكبر شركات التكنولوجيا في العالم دعوى قضائية بسبب أنّ مستخدمي متصفحها في النافذة الخاصة اعتقدوا أنهم غير مُتعقَّبين — بينما استمرّت الشركة، بحسب الدعوى، في جمع الإشارات بما فيها بصمة الجهاز. تواصل النزاع سنوات وانتهى بتسوية: اضطُرّت الشركة إلى حذف كمّ هائل من البيانات المجموعة من النوافذ الخاصة، ووعدت بتغيير سلوكها لعدة سنوات مقبلة. وأياً كان مآل نزاعات مماثلة في المستقبل، فأمرٌ واحد واضح منذ الآن — «النافذة الخاصة» و«غير المرئي» ليسا مترادفين، ولا حتى لدى شركات يُفترض أنها تعرف ذلك خير معرفة.

ما الذي تفعلونه حيالها اليوم

للأيام العادية يكفي متصفح جيّد بحماية مدمجة — Brave أو Firefox المضبوط جيداً خياران متينان، تماماً كما كتبتُ في المقال الافتتاحي. أما للحظات التي تحتاجون فيها إلى أعلى قدرٍ ممكن من التكتّم — مفاوضات حسّاسة، بحث، أيّ شيء لا تريدون أن تكونوا فيه قابلين للربط بزيارة سابقة — فتناولوا Tor Browser أو Mullvad Browser. جرّبوا قياس بصمتكم على coveryourtracks.eff.org أو amiunique.org، لتعرفوا من أين تنطلقون. وتذكّروا المبدأ الذي ذكرتُه في الجزء الافتتاحي والذي يسري في العالمين الرقمي والمادّي على حدٍّ سواء: الاندماج في الحشد هو في الغالب أفضل حماية. البصمة لا تعمل إلا حيث تكونون مختلفين اختلافاً لافتاً عن كل من حولكم.

«لا تُخفون البصمة بحذف ملفات تعريف الارتباط. تُخفونها فقط بأن تبدوا مثل كل شخص آخر في الغرفة.»— Robert Václavík