במאמר הפתיחה, הצגתי רק טביעת אצבע של דפדפן מספיק כדי להבהיר דבר אחד: היא קיימת, וגם עוגיות או VPN לא יסתירו אותה. היום אני אסתכל על זה כמו שצריך: מי אוסף את זה, כמה זה עושה אותך יוצא דופן, ומעל הכל מה אתה יכול לעשות במציאות.
מי אוסף אותו ולמה
לטביעת אצבע יש שני פנים שונים לחלוטין, וזה רק הוגן להזכיר את שניהם. הראשון הוא תעשיית הפרסום והאנליטיקה: חברות שרוצות לדעת שאתה אותו מבקר כמו אתמול, גם בלי עוגיות, כך שהן יכולות לבנות פרופיל ולמקד אליך פרסום. הפנים השניות הן בנקאות ואבטחת תשלום. כשאתם נכנסים לבנקאות מקוונת או משלמים בכרטיס באינטרנט, הבנק משווה בשקט את טביעת האצבע של המכשיר שלכם לזו שהוא מכיר מקודם, ואם פתאום מופיע תשלום ממכשיר אחר לגמרי בצד השני של העולם, המערכת שמה לב. בהקשר הזה, טביעת אצבע היא כלי נגד הונאה, לא נגדך. אותה טכניקה, מטרה הפוכה. בדיוק בגלל זה אי אפשר פשוט לאסור טביעת אצבע בכל רחבי השטח. אתה יכול להגן על עצמך רק מהפנים הראשון, לא מהשני.
כמה אתה באמת יוצא דופן
העיקרון פשוט: לכל מאפיין אינדיבידואלי של המכשיר שלך, סוג הכרטיס הגרפי, הגופנים המותקנים, רזולוציית המסך, גרסת המערכת, יש ערך מוגבל בפני עצמו מכיוון שאתה חולק אותו עם אלפי אנשים אחרים. אבל שלבו עשרים מהם בבת אחת, והשילוב של "ההגדרה הגרפית המדויקת הזו, שבב הסאונד הזה, סט הגופנים הזה, הרזולוציה הזו" הוא לעתים קרובות נדיר באופן מפתיע, לפעמים ייחודי בין מאות אלפי מכשירים אחרים. זה עובד על אותו עיקרון כמו טביעת אצבע: רכס אחד לא אומר כלום, הדפוס המלא מזהה את האדם.
אם אתה רוצה לראות את טביעת האצבע שלך במו עיניך, יש שני כלים חינמיים רציניים ששווה לנסות: coveryourtracks.eff.org ו-amiunique.org. שניהם יראו לך תוך שניות עד כמה המכשיר שלך ייחודי בהשוואה למכשירים של אנשים אחרים שעברו את אותה מבחן. אני ממליץ למדוד אותו מדי פעם אחרי שניסיתי כמה מההמלצות שלהלן, ולהשוות בין מה שהשתנה.
דפדפנים לפי עוצמת ההגנה
לא כל הדפדפנים מטפלים בטביעת אצבע באותה מידה, וכדאי לדעת היכן מסתיימת ההגנה הרגילה ומתחילה הגנה חזקה יותר.
הגישה החזקה ביותר באה מ דפדפן Tor ובאותו דרך, דפדפן Mullvad. שניהם מסתמכים על רעיון פשוט אך חכם: במקום לנסות להפוך את טביעת האצבע של כל משתמש מעט שונה, הם מנסים להפוך אותה זהה לחלוטין לכל המשתמשים בבת אחת. אם אתה נראה בדיוק כמו מיליוני אנשים אחרים המשתמשים באותו דפדפן, האפקטיביות של טביעת אצבע נחלשת באופן דרמטי. זהו כלי לרגעים שבהם אתה צריך את הדיסקרטיות הגבוהה ביותר האפשרית, לא לגלישה יומיומית רגילה.
אמיץ, שאני ממליץ עליו כסטנדרט יומיומי הגיוני, נוקט במסלול אחר: הוא משנה בצורה עדינה ואקראית את הערכים שאתר קורא, מעט שונה בכל פעם. זה עובד היטב נגד מעקב רגיל, אם כי זה הוגן לומר שעם מספיק ניסיונות חוזרים ונשנים ניתן לנתח חלקית את ההגנה האקראית הזו. לעומת זאת, לעומת גשש פרסום רגיל, מדובר בהגנה מספקת וחינמית, ואין צורך להגדיר דבר כלל.
פיירפוקס כולל הגדרה מתקדמת נסתרת, resistFingerprinting, שעושה משהו דומה לדפדפן Tor, אך היא מיועדת יותר למשתמשים מתקדמים מכיוון שהיא יכולה לשבור את ההתנהגות הרגילה של חלק מהאתרים, למשל על ידי הצגת אזור זמן שגוי. Firefox מוסיף בהדרגה גם הגנת ברירת מחדל רכה יותר, כזו שאינה דורשת הפעלה ידנית ואינה שוברת את האינטרנט בתהליך. ספארי זמן רב הסתמך בעיקר על חסימת רכיבי מעקב של צד שלישי, אבל היום הוא כולל גם הגנה ישירה מפני טביעת אצבע: הוא מחדיר כמות קטנה של רעש לערכים שקוראים סקריפטים של טביעת אצבע, כך שטביעת האצבע יוצאת מעט אחרת בכל פעם. בגרסאות האחרונות הוא מופעל כברירת מחדל עבור כל הגלישה; בעבר זה עבד רק בחלון פרטי.
מדוע גלישה בסתר ו-VPN אינם מספיקים
זו אי ההבנה הנפוצה ביותר שאני נתקל בה. מצב גלישה בסתר או חלון פרטי רק מגבילים את המעקב המקומי: לאחר סגירתו, הוא מוחק היסטוריה, קובצי Cookie ונתוני הפעלה, אך טביעת האצבע נקראת בשידור חי ממש ברגע שפותחים את הדף, וזה בדיוק אותו הדבר בין אם אתם גולשים בחלון רגיל או פרטי. אותו הדבר חל על VPN, עליו כתבתי בעבר: הוא משתנה רק מהמקום שממנו אתה מגיע ואינו משפיע ולו במעט על טביעת האצבע של המכשיר עצמו. שתי ההגנות עובדות על שכבה אחרת, שתיהן שימושיות, אבל שתיהן לא פותרות טביעות אצבע.
זה לא רק סיכון תיאורטי הוכיח לפני כמה שנים מקרה שהסתיים בבית המשפט בארצות הברית. אחת מחברות הטכנולוגיה הגדולות בעולם עמדה בפני תביעה משפטית בדיוק בגלל שמשתמשי הדפדפן שלה בחלון פרטי האמינו שלא עוקבים אחריהם, בעוד שלפי הטענה החברה המשיכה לאסוף אותות, כולל טביעת האצבע של המכשיר. המחלוקת נמשכה שנים והסתיימה בפשרה: החברה נאלצה למחוק כמות עצומה של נתונים שנאספו מחלונות פרטיים והבטיחה לשנות את התנהגותה לעוד מספר שנים. ואיך שלא יסתיימו מחלוקות דומות בעתיד, דבר אחד כבר ברור כעת: "חלון פרטי" ו"בלתי נראה" אינן מילים נרדפות, גם לא בחברות שאמורות לדעת טוב יותר.
מה לעשות עם זה היום
לימים רגילים מספיק דפדפן טוב עם הגנה מובנית. פיירפוקס אמיץ או מוגדר כהלכה הוא בחירה מוצקה, בדיוק כפי שכתבתי במאמר הפתיחה. לרגעים שבהם אתה צריך את הדיסקרטיות הגבוהה ביותר האפשרית, פגישות רגישות, מחקר, כל דבר שבו אינך רוצה שיהיה ניתן לקישור לביקור קודם, פנה אל Tor Browser או Mullvad Browser. נסה למדוד את טביעת האצבע שלך ב-coveryourtracks.eff.org או amiunique.org כדי שתדע את נקודת ההתחלה שלך. וזכרו את העיקרון שהזכרתי בחלק הפותח, כזה שתקף באופן שווה בעולם הדיגיטלי והפיזי: התמזגות בקהל היא בדרך כלל ההגנה הטובה ביותר. טביעת אצבע פועלת רק במקום שבו אתה בולט באופן ניכר מכל הסובבים אותך.
"אתה לא מסתיר טביעת אצבע על ידי מחיקת עוגיות. אתה מסתיר אותה רק על ידי מראה כמו כל אחד אחר בחדר."- רוברט ואצלוויק
