کالبدشکافی ردپای مرورگر: سایت‌ها واقعاً چگونه شما را بدون کوکی ردیابی می‌کنند؟

بسیاری از کاربران اینترنت تصور می‌کنند که با باز کردن یک پنجره ناشناس (Incognito) و پاک کردن مداوم کوکی‌ها، به یک روح نامرئی در دنیای دیجیتال تبدیل می‌شوند. بازاریابی شرکت‌های فناوری نیز سال‌هاست که این توهم امنیت و «وب‌گردی خصوصی» را به ما می‌فروشند [5]. اما واقعیت بسیار پیچیده‌تر است.[5]

اینترنت مدرن برای ردیابی شما دیگر نیازی به جا گذاشتن یک فایل متنی (کوکی) روی کامپیوترتان ندارد. وب‌سایت‌ها اکنون به جای اینکه چیزی روی سیستم شما بنویسند، صرفاً به نحوه رفتار و واکنش دستگاه شما نگاه می‌کنند. این مکانیزم که به عنوان «اثر انگشت مرورگر» (Browser Fingerprinting) شناخته می‌شود، قوانین بازی حریم خصوصی را کاملاً تغییر داده است [3].[3]

هر بار که وارد یک وب‌سایت می‌شوید، مرورگر شما برای اینکه صفحه به درستی نمایش داده شود، مجموعه‌ای عظیم از اطلاعات را به سرور میزبان مخابره می‌کند. این اطلاعات شامل سیستم‌عامل، رزولوشن صفحه نمایش، منطقه زمانی، زبان پیش‌فرض، افزونه‌های نصب شده و حتی لیست فونت‌های موجود در سیستم شماست [3].[3]

هیچ‌کدام از این داده‌ها به تنهایی خطرناک یا منحصر‌به‌فرد نیستند؛ میلیون‌ها نفر در سراسر جهان از ویندوز و مرورگر کروم استفاده می‌کنند. اما وقتی ده‌ها پارامتر مختلف در کنار هم قرار می‌گیرند، ترکیبی به شدت خاص ایجاد می‌کنند که مانند یک اثر انگشت فیزیکی، دستگاه شما را از میلیاردها دستگاه دیگر متمایز می‌سازد [3].[3]

جذاب‌ترین و در عین حال نامرئی‌ترین لایه این فناوری، تکنیکی به نام Canvas Fingerprinting است. با معرفی استاندارد HTML5، عنصری به نام Canvas به مرورگرها اضافه شد که به توسعه‌دهندگان اجازه می‌دهد گرافیک‌های دو بعدی و سه بعدی را به صورت پویا در صفحه وب رسم کنند [1, 2].[1][2]

مکانیزم کار به این شکل است: وقتی وارد سایتی می‌شوید، یک اسکریپت در پس‌زمینه از مرورگر شما می‌خواهد تا یک تصویر مخفی حاوی متن‌ها، رنگ‌ها و اشکال هندسی خاص را رسم کند. این فرآیند در کسری از ثانیه و کاملاً دور از چشم شما انجام می‌شود [1, 4].[1][4]

از آنجایی که هر دستگاه دارای واحد پردازش گرافیکی (GPU)، درایورهای سخت‌افزاری و سیستم‌عامل متفاوتی است، نحوه رندر کردن این تصویر دقیقاً یکسان، در سطح میکروسکوپی و پیکسلی متفاوت خواهد بود [1, 2].[1][2]

تفاوت‌های بسیار ریز در تکنیک‌های صاف کردن لبه‌های متن (Anti-aliasing) باعث می‌شود که خروجی نهایی این تصویر روی یک مک‌بوک، از نظر ریاضی با خروجی همان تصویر روی یک لپ‌تاپ ویندوزی متفاوت باشد، حتی اگر چشم انسان نتواند این تفاوت را تشخیص دهد [4].[4]

وب‌سایت سپس این تصویر نامرئی را به یک کد متنی طولانی (Base64) تبدیل کرده و از آن یک «هش» (Hash) می‌گیرد. این هش تبدیل به شناسه یکتای شما می‌شود؛ شناسه‌ای که نیازی به کوکی ندارد و حتی با پاک کردن کامل تاریخچه مرورگر نیز از بین نمی‌رود [4].[4]

اما چرا شرکت‌ها از چنین روش پیچیده‌ای استفاده می‌کنند؟ اگرچه این فناوری شبیه به ابزارهای جاسوسی به نظر می‌رسد، اما در واقع یکی از مهم‌ترین خطوط دفاعی در امنیت سایبری است. بانک‌ها و درگاه‌های پرداخت از این روش برای جلوگیری از کلاهبرداری و تشخیص ربات‌های مخرب استفاده می‌کنند [1, 3].[1][3]

فرض کنید یک هکر رمز عبور شما را دزدیده و سعی دارد از کشور دیگری وارد حساب بانکی‌تان شود. سیستم امنیتی بانک بلافاصله اثر انگشت دستگاه او را بررسی می‌کند. وقتی هش Canvas با دستگاه همیشگی شما مطابقت نداشته باشد، سیستم متوجه خطر شده و ورود را مسدود می‌کند [3].[3]

با این حال، ماهیت این فناوری دوگانه است. شبکه‌های تبلیغاتی نیز از همین مکانیزم برای ردیابی شما در وب‌سایت‌های مختلف استفاده می‌کنند تا تبلیغات هدفمند را به شما نمایش دهند و محدودیت‌های مسدودسازی کوکی‌ها را دور بزنند [4].[4]

در اینجا به یک پارادوکس جالب در حریم خصوصی می‌رسیم: بسیاری از کاربران برای مقابله با این ردیابی، افزونه‌های متعدد ضد ردیابی نصب می‌کنند، فونت‌ها را مسدود می‌کنند یا از مرورگرهای بسیار خاص استفاده می‌کنند [5].[5]

از قضا، این تلاش برای پنهان شدن، شما را قابل ردیابی‌تر می‌کند! با تغییر تنظیمات استاندارد و ایجاد یک پیکربندی غیرمعمول، اثر انگشت مرورگر شما به شدت متمایز می‌شود. به جای اینکه در میان جمعیت گم شوید، مانند فردی با لباس نئونی در یک خیابان تاریک می‌درخشید [5].[5]

رقابت تسلیحاتی در این عرصه همچنان ادامه دارد. مرورگرهایی مانند سافاری اپل و فایرفاکس با اضافه کردن نویزهای تصادفی به خروجی Canvas سعی در مختل کردن این ردیابی دارند، در حالی که شرکت‌های ردیابی به دنبال سیگنال‌های سخت‌افزاری جدیدتری مانند نحوه پردازش صدا (AudioContext) توسط کارت صدای شما هستند [1, 2].[1][2]