Was der Score eines Browser-Fingerprint-Tests wirklich bedeutet

Ein Fingerprint-Test gibt dir eine Zahl und nennt sie Bits Entropie. Dann addieren Leute diese Zahlen und schließen daraus, sie seien eine von wenigen Personen im Internet. Beide Schritte sind auf interessante Weise falsch. Die Bits sind nicht unabhängig, und der Test ist keine Volkszählung.

1. Abhängige Signale nicht addieren

Beginne mit der Beziehung zwischen den Beobachtungen statt mit ihrer Anzahl, was auch die Fingerprinting-Leitlinie des W3C verlangt, wenn sie von wahrscheinlichen Verteilungen spricht. Zwei ausgewogene binäre Eigenschaften zeigen die Arithmetik in ihrer einfachsten Form.

Vier gleich wahrscheinliche Zustände tragen zwei Bits; zwei gleich wahrscheinliche Zustände tragen eines. Wenn die zweite Eigenschaft immer die erste kopiert, listet der Bericht weiterhin zwei Felder, und die Information ist weiterhin ein Bit. Dieselbe Tatsache zweimal zu lesen ist keine zweite Unterscheidung.

Reale Merkmale sind selten exakte Kopien. Sprache, Locale und Zeitzone sind auf eine Weise korreliert, die eine Unabhängigkeitsannahme ignoriert, weshalb naive Addition das Ergebnis überschätzt.

2. Frage, welche Grundgesamtheit der Score beschreibt

Ein Test kann ehrlich berichten, dass eine Kombination innerhalb seiner eigenen Beobachtungen selten war. Das ist eine Aussage über eine Stichprobe, zu einem Datum, mit einer bestimmten Attributliste und einer bestimmten Berechnung. Es ist keine dauerhafte Eigenschaft deines Browsers und keine Zählung jedes Geräts der Welt. Browser-Updates verschieben die Antwort von selbst.

Lies die Methode vor der Schlagzeile: was erhoben wurde, wie Werte gruppiert wurden, wie viele Stichproben es gab und ob die Seltenheitsaussage aus demselben Panel stammt, das den Score erzeugt hat. Eine Zahl, die gegen eine kleine selbst ausgewählte Stichprobe berechnet wurde, beschreibt die Stichprobe.

3. Wiedererkennung von Identität trennen

Ein dauerhaftes Konto oder ein Cookie verbindet deine Besuche ohne jedes raffinierte Fingerprinting, und ein Wechsel des VPN-Ausgangs berührt es nicht. Ein Fingerprint kann einen wiederkehrenden Browser erkennen, ohne die Person dahinter zu benennen. Das sind verschiedene Fähigkeiten, und ein Score verwischt sie. Wenn ein Dienst Identität will, greift er zuerst zu den langweiligen Werkzeugen.

Das erklärt auch, warum zwei Personen im selben Büro für einen groben Fingerprint identisch und für ein Login völlig verschieden aussehen können.

4. Beachte, was die Zahl ohnehin verschiebt

Einstellungen ändern sich, Erweiterungen ändern sich, und Browserversionen ändern, was überhaupt beobachtbar ist. Manche Schutzmaßnahmen normalisieren bewusst Felder, die ein Test sonst als unterscheidend zählen würde. Andere randomisieren einen Wert pro Sitzung, was als Instabilität statt Anonymität erscheint.

Ein Fingerprint, der sich bei jedem Besuch verschiebt, ist schwerer über Sitzungen hinweg zu verknüpfen, und er sagt nichts über deine Seltenheit aus. Beide Fakten gehören in die Lesart.

5. Entscheide, was du erreichen willst

Schreib das Ziel auf, bevor du etwas installierst. Wenn das Ziel ist, websiteübergreifendes Tracking durch ein Werbenetzwerk zu stoppen, erledigen Cookie- und Speicherhygiene plus ein Inhaltsblocker den Großteil der Arbeit. Wenn das Ziel ist, eine bestimmte Korrelation zu vermeiden, benenne das Merkmal. Wenn das Ziel ist, schwer herauszugreifen zu sein, ist der ehrliche Weg eine gängige Konfiguration statt einer seltenen.

Der kontraintuitive Teil ist, dass die Jagd nach Seltenheit dich leichter herauspickbar macht. Eine unverwechselbare Konfiguration ist genau das, was ein Fingerprinting-Skript zu finden hofft. Sich einzufügen ist ein anderes Ziel als eine gedruckte Zahl zu maximieren.