Hvad en browser-fingeraftrykstests score egentlig betyder

En fingeraftrykstest giver dig et tal og kalder det bits entropi. Derefter lægger folk tallene sammen og konkluderer, at de er en af få personer på internettet. Begge trin er forkerte på interessante måder. Bitsene er ikke uafhængige, og testen er ikke en folketælling.

1. Læg ikke afhængige signaler sammen

Begynd med forholdet mellem observationerne i stedet for deres antal, hvilket også er det, W3C's vejledning om fingeraftryk beder om, når den taler om sandsynlige fordelinger. To afbalancerede binære egenskaber viser aritmetikken i sin enkleste form.

Fire lige sandsynlige tilstande bærer to bits; to lige sandsynlige tilstande bærer én. Hvis den anden egenskab altid kopierer den første, opregner rapporten stadig to felter, og informationen er stadig én bit. At læse den samme kendsgerning to gange er ikke en anden sondring.

Virkelige egenskaber er sjældent præcise kopier. Sprog, lokalitet og tidszone er korreleret på måder, som en uafhængighedsantagelse ignorerer, og derfor overdriver naiv addition resultatet.

2. Spørg, hvilken population scoren beskriver

En test kan ærligt rapportere, at en kombination var sjælden inden for dens egne observationer. Det er en udtalelse om en stikprøve, på en dato, med en bestemt attributliste og en bestemt beregning. Det er ikke en permanent egenskab ved din browser, og det er ikke en optælling af hver enhed i verden. Browseropdateringer flytter svaret af sig selv.

Læs metoden før overskriften: hvad blev indsamlet, hvordan blev værdier grupperet, hvor mange stikprøver var der, og kommer sjældenhedspåstanden fra det samme panel, som producerede scoren. Et tal beregnet på en lille selvudvalgt stikprøve beskriver stikprøven.

3. Adskil genkendelse fra identitet

En vedvarende konto eller cookie forbinder dine besøg uden nogen smart fingeraftrykning, og det rører ikke ved at skifte VPN-udgang. Et fingeraftryk kan genkende en browser, der vender tilbage, uden at navngive personen bag den. Det er forskellige evner, og én score slører dem sammen. Når en tjeneste vil have identitet, griber den normalt først efter de kedelige værktøjer.

Det forklarer også, hvorfor to personer på samme kontor kan se identiske ud for et groft fingeraftryk og helt forskellige ud for et login.

4. Bemærk, hvad der alligevel flytter tallet

Indstillinger ændrer sig, udvidelser ændrer sig, og browserversioner ændrer, hvad der overhovedet kan observeres. Nogle beskyttelser normaliserer med vilje felter, som en test ellers ville tælle som særkende. Andre randomiserer en værdi per session, hvilket viser sig som ustabilitet snarere end anonymitet.

Et fingeraftryk, der flytter sig ved hvert besøg, er sværere at kæde sammen på tværs af sessioner, og det fortæller dig intet om din sjældenhed. Begge fakta hører med i læsningen.

5. Beslut, hvad du forsøger at opnå

Skriv målet ned, før du installerer noget. Hvis målet er at stoppe sporing på tværs af websteder fra ét reklamenetværk, gør cookie- og lagerhygiejne plus en indholdsblokker det meste af arbejdet. Hvis målet er at undgå én bestemt korrelation, så navngiv den egenskab. Hvis målet er at være svær at udpege, er den ærlige tilgang en almindelig konfiguration frem for en sjælden.

Det kontraintuitive er, at jagten på sjældenhed gør dig lettere at udpege. En særpræget konfiguration er netop, hvad et fingeraftryksscript håber at finde. At smelte ind er et andet mål end at maksimere et trykt tal.