Basics
Il browser o il device fingerprinting è una tecnica utilizzata in informatica per generare identificatori distinti per varie forme di dati digitali. Consiste nel raccogliere informazioni su smartphone, computer e altri dispositivi. Questo può avvenire anche se l'utente cambia browser o nasconde il proprio indirizzo IP.
I servizi di web analytics raccolgono da anni dati su browser e dispositivi per misurare il traffico legittimo e prevenire frodi. Tuttavia, i recenti progressi tecnologici consentono di raccogliere parametri sempre più specifici.
In passato il fingerprinting veniva impiegato principalmente per identificare computer. Oggi, metodi avanzati possono riconoscere quasi qualsiasi dispositivo, e l'ambiente mobile è diventato un'area di interesse sempre più importante.
How Does Device Fingerprinting Work?
Il processo di device fingerprinting prevede la raccolta di set di dati, che vengono combinati e sottoposti a una funzione di hash. Il valore hash risultante può fungere da identificatore unico per ogni dispositivo o utente. Le informazioni vengono solitamente memorizzate in un database piuttosto che sul dispositivo stesso. Sebbene un singolo punto dati possa essere generico, la combinazione di più set di dati può risultare unica.
Sia metodi passivi sia attivi possono essere impiegati nel device fingerprinting per raccogliere le informazioni di un dispositivo. Anche se migliaia di computer hanno lo stesso sistema operativo, ciascuno avrà probabilmente una combinazione distinta di software, hardware, browser, plugin, lingua, fuso orario e impostazioni generali. Questo è l'obiettivo di entrambi gli approcci: raccogliere quante più informazioni possibili sul dispositivo.
Passive Fingerprinting
Il passive fingerprinting si riferisce alla raccolta discreta di dati senza interrogare direttamente l'utente o il sistema remoto. Di conseguenza, questo approccio spesso produce informazioni meno specifiche, come il sistema operativo.
Ad esempio, con una tecnica di passive fingerprinting è possibile raccogliere informazioni sui driver wireless nei dispositivi di rete come i modem. Ciò può essere ottenuto esaminando i vari tipi di driver e il modo in cui eseguono la scansione delle possibili connessioni senza richiedere alcuna interazione dai dispositivi. Identificando le differenze nel modo in cui più dispositivi cercano punti di accesso, un attaccante può determinare con precisione quale driver è in uso su ciascun dispositivo target.
Active Fingerprinting
L'active fingerprinting implica comunicazioni di rete, che possono essere più facilmente rilevate dal lato client. I siti web possono usare codice JavaScript per raccogliere informazioni sui dispositivi e sui browser dell'utente, incluse dimensioni della finestra, font, plugin, impostazioni della lingua, fuso orario e dettagli hardware.
Un esempio di tecnica di active fingerprinting è il canvas fingerprinting, utilizzato sia su computer sia su dispositivi mobili. Questo approccio spesso coinvolge uno script che interagisce con il canvas di una pagina HTML5. Lo script istruisce il canvas a creare un'immagine nascosta sullo schermo, che registra informazioni come la risoluzione dello schermo, i font e i colori di background.
What Is Device Fingerprinting Used For?
Il device fingerprinting è comunemente usato dagli inserzionisti per tracciare il comportamento degli utenti su più browser. Anche le banche utilizzano questi metodi per verificare che una richiesta provenga da un dispositivo affidabile e non da un sistema coinvolto in attività fraudolente.
Il device fingerprinting è utile anche per i siti web per evitare registrazioni multiple di account e per i motori di ricerca per segnalare comportamenti sospetti di un dispositivo. Inoltre, queste tecniche possono aiutare a rilevare e prevenire il furto d'identità e le frodi con carte di credito.
Tuttavia, il device fingerprinting rappresenta una minaccia per la privacy degli utenti e, a seconda dell'implementazione, la raccolta dei dati può essere non rilevabile, specialmente con tecniche di passive fingerprinting.
Limitations
Esistono limitazioni del device fingerprinting sia nei metodi attivi sia in quelli passivi. L'active fingerprinting si basa sulla disponibilità di linguaggi di scripting come JavaScript, che potrebbero non essere presenti su dispositivi mobili o su dispositivi che eseguono software o plugin orientati alla privacy. Tuttavia, utenti focalizzati sulla privacy con impostazioni particolari o che utilizzano software poco diffusi possono essere facilmente identificati.
Il passive fingerprinting raccoglie dati basandosi su ciò che viene inviato da ogni dispositivo, ma tende a fornire informazioni meno specifiche. Possono verificarsi imprecisioni quando gli utenti cambiano constantemente le impostazioni o usano più sistemi operativi virtuali. Inoltre, l'uso di browser diversi può causare incoerenze, ma tecniche di fingerprinting cross-browser possono aiutare a evitare tali limitazioni.
Conclusion
Il device fingerprinting può essere implementato in vari modi e l'efficacia di ciascun metodo può differire significativamente in termini di raccolta dati e identificazione di una singola fonte. Che venga utilizzato da solo o in combinazione con altri metodi, il device fingerprinting è uno strumento potente per il tracciamento del comportamento degli utenti e l'identificazione. Può essere impiegato per scopi legittimi e illegittimi, rendendo essenziale comprendere i suoi meccanismi di base.