V úvodním článku jsem otisk prohlížeče jen představil — dost na to, aby bylo jasné, že existuje a že ho nezakryjete cookies ani VPN. Dnes se na něj podívám do hloubky: kdo ho sbírá, jak moc jste díky němu vzácní, a hlavně co s tím reálně jde dělat.
Kdo otisk sbírá a proč
Otiskování má dvě úplně odlišné tváře a je fér obě zmínit. Ta první je reklamní a analytický průmysl — firmy, které chtějí vědět, že jste tentýž návštěvník jako včera, i bez cookies, aby Vám mohly sestavit profil a cílit reklamu. Ta druhá tvář je bankovní a platební zabezpečení. Když se přihlašujete do internetového bankovnictví nebo platíte kartou online, banka na pozadí porovnává otisk Vašeho zařízení s tím, který zná z minula — a pokud se najednou platí z úplně jiného zařízení z druhého konce světa, systém zpozorní. V tomhle případě je otiskování nástroj proti podvodu, ne proti Vám. Stejná technika, opačný účel. Právě proto nejde otiskování paušálně zakázat — jde jen chránit se před tou první tváří, ne před tou druhou.
Jak moc jste ve skutečnosti vzácní
Princip je jednoduchý: každá jednotlivá vlastnost Vašeho zařízení — typ grafické karty, nainstalované fonty, rozlišení obrazovky, verze systému — má sama o sobě malou vypovídací hodnotu, protože ji sdílíte s tisíci dalších lidí. Ale zkombinujte jich dvacet najednou, a kombinace „přesně tahle grafika, tenhle zvukový čip, tahle sada fontů, tohle rozlišení" bývá překvapivě vzácná, často jedinečná mezi statisíci jiných zařízení. Je to stejný princip jako u otisku prstu — jednotlivá papilární linie nic neřekne, celý vzor identifikuje člověka.
Chcete-li svůj otisk vidět na vlastní oči, existují dva seriózní bezplatné nástroje, které stojí za vyzkoušení: coveryourtracks.eff.org a amiunique.org. Oba Vám během pár vteřin ukážou, jak jedinečné je Vaše zařízení mezi zařízeními ostatních lidí, kteří test taky zkusili. Doporučuji si otisk změřit teď a pak znovu, až vyzkoušíte některé z doporučení níže — a porovnat, co se změnilo.
Prohlížeče podle síly ochrany
Ne všechny prohlížeče se s otiskováním perou stejně a stojí za to vědět, kde je hranice běžné a nadstandardní ochrany.
Nejsilnější přístup má Tor Browser a na něj navazující Mullvad Browser. Oba staví na jednoduché, ale chytré myšlence: místo aby se snažily otisk každého uživatele udělat trochu jiný, snaží se udělat otisk úplně stejný pro všechny uživatele najednou. Pokud vypadáte úplně stejně jako miliony jiných lidí používajících stejný prohlížeč, účinnost otiskování se tím výrazně oslabí. Je to nástroj pro chvíle, kdy potřebujete nejvyšší možnou diskrétnost, ne na běžné denní prohlížení.
Brave, který doporučuji jako rozumný standard pro každý den, jde jinou cestou — jemně a náhodně pozmění hodnoty, které web čte, pokaždé trochu jinak. Funguje to dobře proti běžnému sledování, i když je čestné říct, že při dostatku opakovaných pokusů jde takovou náhodnou obranu částečně rozklíčovat. Proti běžnému reklamnímu sledovači je to ale dostatečná a bezplatná ochrana, kterou navíc nemusíte nijak nastavovat.
Firefox má schovanou pokročilou volbu, resistFingerprinting, která dělá podobnou věc jako Tor Browser, ale je určená spíš pro pokročilé uživatele — dokáže totiž rozbít běžné fungování některých stránek, třeba špatně zobrazí časové pásmo. Firefox postupně přidává i jemnější, výchozí ochranu, která nevyžaduje nic zapínat ručně a nerozbíjí přitom web. Safari dlouho stavěl hlavně na blokování sledovacích prvků třetích stran, ale dnes má i ochranu přímo proti otiskování — do hodnot, které si otiskovací skripty čtou, vnáší drobný šum, takže otisk pokaždé vyjde trochu jinak. V nejnovějších verzích je zapnutá ve výchozím stavu pro všechno prohlížení, dřív fungovala jen v soukromém okně.
Proč inkognito a VPN nestačí
Tohle je nejčastější mylná představa, se kterou se setkávám. Inkognito nebo soukromé okno jen omezí lokální stopu — po zavření smaže historii, cookies a data z dané relace — ale otisk se čte živě, v tu chvíli, kdy stránku otevřete, a je úplně stejný ať jedete v běžném, nebo soukromém okně. Stejně tak VPN, o které jsem psal minule, změní jen to, odkud se zdá, že přicházíte — otisku samotného zařízení se nedotkne vůbec. Obě ochrany fungují na jiné úrovni, obě jsou užitečné, ale ani jedna otiskování neřeší.
Že to není jen teoretická hrozba, ukázal před pár lety případ, který skončil až u soudu ve Spojených státech. Jedna z největších technologických firem na světě čelila žalobě právě kvůli tomu, že uživatelé jejího prohlížeče v soukromém okně věřili, že jsou nesledovaní — zatímco firma podle žaloby dál sbírala signály včetně otisku zařízení. Spor se táhl roky a skončil dohodou: firma musela smazat obrovské množství dat nasbíraných ze soukromých oken a slíbila změnu chování na několik dalších let. A ať už podobné spory v budoucnu dopadnou jakkoli, jedno je jasné už teď — „soukromé okno" a „neviditelný" nejsou synonyma, ani u firem, které by to měly vědět nejlíp.
Co s tím dnes udělat
Pro běžné dny stačí kvalitní prohlížeč se zabudovanou ochranou — Brave nebo dobře nastavený Firefox jsou solidní volba, přesně jak jsem psal v úvodním článku. Pro chvíle, kdy potřebujete nejvyšší možnou diskrétnost — citlivé jednání, výzkum, cokoli, kde nechcete být propojitelní s předchozí návštěvou — sáhněte po Tor Browseru nebo Mullvad Browseru. Zkuste si vlastní otisk změřit na coveryourtracks.eff.org nebo amiunique.org, ať víte, odkud vycházíte. A pamatujte na princip, který jsem zmiňoval už v úvodním dílu a který platí v digitálním i fyzickém světě stejně: splynout s davem je většinou ta nejlepší ochrana. Otiskování funguje jen tam, kde jste nápadně jiní než všichni kolem.
„Otisk nezakryjete tím, že smažete cookies. Zakryjete ho jen tím, že budete vypadat jako každý druhý v místnosti.“— Robert Václavík
