Nell'articolo di apertura ho introdotto il browser fingerprinting solo quanto basta per chiarire una cosa: esiste e né i cookie né la VPN lo nasconderanno. Oggi lo esaminerò correttamente: chi lo colleziona, quanto ti rende insolito e soprattutto cosa puoi realisticamente fare al riguardo.
Chi lo raccoglie e perché
Il rilevamento delle impronte digitali ha due facce completamente diverse ed è giusto menzionarle entrambe. Il primo è il settore della pubblicità e dell’analisi: le aziende che vogliono sapere che sei lo stesso visitatore di ieri, anche senza cookie, in modo da poter creare un profilo e indirizzare la pubblicità su di te. Il secondo aspetto riguarda la sicurezza bancaria e dei pagamenti. Quando accedi all'online banking o paghi con carta online, la banca confronta silenziosamente l'impronta digitale del tuo dispositivo con quella che conosceva prima e se improvvisamente appare un pagamento da un dispositivo completamente diverso dall'altra parte del mondo, il sistema presta attenzione. In tale contesto, il rilevamento delle impronte digitali è uno strumento contro le frodi, non contro di te. Stessa tecnica, scopo opposto. Questo è esattamente il motivo per cui il rilevamento delle impronte digitali non può essere semplicemente vietato a tutti i livelli. Puoi proteggerti solo dalla prima faccia, non dalla seconda.
Quanto è davvero riconoscibile il vostro browser
Il principio è semplice: ogni caratteristica individuale del tuo dispositivo, il tipo di scheda grafica, i caratteri installati, la risoluzione dello schermo, la versione del sistema, ha da sola un valore limitato perché lo condividi con migliaia di altre persone. Ma combinandone venti contemporaneamente, la combinazione di “questa esatta configurazione grafica, questo chip audio, questo set di caratteri, questa risoluzione” è spesso sorprendentemente rara, a volte unica tra centinaia di migliaia di altri dispositivi. Funziona secondo lo stesso principio dell'impronta digitale: una cresta non dice nulla, il disegno completo identifica la persona.
Se vuoi vedere la tua impronta digitale con i tuoi occhi, ci sono due strumenti affidabili e accessibili che vale la pena provare: coveryourtracks.eff.org e amiunique.org. Entrambi ti mostreranno in pochi secondi quanto è unico il tuo dispositivo rispetto ai dispositivi di altre persone che hanno sostenuto lo stesso test. Consiglio di misurarlo di tanto in tanto dopo aver provato alcuni dei consigli di seguito e aver confrontato ciò che è cambiato.
Browser per livello di protezione
Non tutti i browser gestiscono altrettanto bene il rilevamento delle impronte digitali ed è opportuno sapere dove finisce la protezione ordinaria e inizia quella più forte.
L'approccio più forte viene da Browser Tor e, seguendo lo stesso percorso, Browser Mullvad. Entrambi si basano su un’idea semplice ma intelligente: invece di provare a rendere l’impronta digitale di ciascun utente leggermente diversa, cercano di renderla esattamente uguale per tutti gli utenti contemporaneamente. Se assomigli esattamente a milioni di altre persone che utilizzano lo stesso browser, l'efficacia del rilevamento delle impronte digitali viene notevolmente indebolita. È uno strumento per i momenti in cui è necessaria la massima discrezione possibile, non per la normale navigazione quotidiana.
Brave, che consiglio come standard quotidiano sensato, prende una strada diversa: altera in modo sottile e casuale i valori letti da un sito Web, ogni volta in modo leggermente diverso. Funziona bene contro il tracciamento ordinario, anche se è giusto dire che con tentativi abbastanza ripetuti questa difesa casuale può essere in parte analizzata. Contro un tracker pubblicitario standard, tuttavia, è sufficiente una protezione integrata e non è necessario configurare nulla.
Firefox include un'impostazione avanzata nascosta, resistFingerprinting, che fa qualcosa di simile a Tor Browser, ma è destinata più agli utenti esperti perché può interrompere il normale comportamento di alcuni siti Web, ad esempio visualizzando il fuso orario sbagliato. Firefox sta gradualmente aggiungendo anche una protezione predefinita più morbida, che non richiede l'attivazione manuale e non interrompe il web nel processo. Safari per molto tempo si è basato principalmente sul blocco di elementi di tracciamento di terze parti, ma oggi include anche una protezione diretta contro il rilevamento delle impronte digitali: inietta una piccola quantità di rumore nei valori letti dagli script di rilevamento delle impronte digitali, quindi l'impronta digitale risulta ogni volta leggermente diversa. Nelle ultime versioni è abilitato di default per tutta la navigazione; in passato funzionava solo in una finestra privata.
Perché la navigazione in incognito e la VPN non sono sufficienti
Questo è il malinteso più comune che incontro. La modalità di navigazione in incognito o finestra privata limita solo la traccia locale: una volta chiusa cancella cronologia, cookie e dati di sessione, ma l'impronta digitale viene letta in tempo reale nel momento stesso in cui si apre la pagina, ed è esattamente lo stesso sia che si stia navigando in una finestra normale o privata. Lo stesso vale per la VPN, di cui ho parlato in precedenza: cambia solo la tua provenienza apparentemente e non influisce minimamente sull'impronta digitale del dispositivo stesso. Entrambe le protezioni funzionano su un livello diverso, entrambe sono utili, ma nessuna delle due risolve il rilevamento delle impronte digitali.
Che non si tratti di un rischio meramente teorico lo ha dimostrato qualche anno fa un caso finito in tribunale negli Stati Uniti. Una delle più grandi aziende tecnologiche del mondo ha dovuto affrontare una causa legale proprio perché gli utenti del suo browser in una finestra privata credevano di non essere tracciati, mentre secondo l'accusa l'azienda ha continuato a raccogliere segnali, inclusa l'impronta digitale del dispositivo. La disputa durò anni e si concluse con un accordo: l'azienda dovette cancellare un'enorme quantità di dati raccolti dalle finestre private e promise di cambiare il suo comportamento per diversi anni ancora. E comunque possano finire simili controversie in futuro, una cosa è già chiara adesso: “finestra privata” e “invisibile” non sono sinonimi, nemmeno per le aziende che dovrebbero saperlo meglio.
Cosa fare oggi al riguardo
Per i giorni normali è sufficiente un buon browser con protezione integrata. Brave o Firefox adeguatamente configurato sono una scelta solida, esattamente come ho scritto nell'articolo di apertura. Per i momenti in cui hai bisogno della massima discrezione possibile, riunioni delicate, ricerche, qualsiasi cosa in cui non vuoi essere collegabile a una visita precedente, usa Tor Browser o Mullvad Browser. Prova a misurare la tua impronta digitale su coveryourtracks.eff.org o amiunique.org in modo da conoscere il tuo punto di partenza. E ricorda il principio che ho citato in apertura, che vale sia nel mondo digitale che in quello fisico: confondersi tra la folla è solitamente la migliore protezione. Il rilevamento delle impronte digitali funziona solo laddove ti distingui notevolmente da tutti coloro che ti circondano.
"Non si nasconde un'impronta digitale eliminando i cookie. La si nasconde solo assomigliando a tutti gli altri nella stanza."— Robert Václavík
