Ce que signifie vraiment le score d’un test d’empreinte du navigateur

Un test d’empreinte vous donne un nombre et l’appelle des bits d’entropie. Ensuite, les gens additionnent ces nombres et concluent qu’ils font partie d’une poignée de personnes sur internet. Les deux étapes sont fausses de façons intéressantes. Les bits ne sont pas indépendants, et le test n’est pas un recensement.

1. N’additionnez pas des signaux dépendants

Partez de la relation entre les observations plutôt que de leur nombre, ce que demande aussi la note d’orientation sur les empreintes du W3C lorsqu’elle parle de distributions probables. Deux propriétés binaires équilibrées montrent l’arithmétique sous sa forme la plus simple.

Quatre états également probables portent deux bits ; deux états également probables en portent un. Si la seconde propriété copie toujours la première, le rapport énumère encore deux champs et l’information reste un bit. Lire deux fois le même fait n’est pas une seconde distinction.

Les caractéristiques réelles sont rarement des copies exactes. La langue, la locale et le fuseau horaire sont corrélés d’une manière que l’hypothèse d’indépendance ignore, et c’est pourquoi une addition naïve surestime le résultat.

2. Demandez quelle population le score décrit

Un test peut honnêtement signaler qu’une combinaison était rare dans ses propres observations. C’est une affirmation sur un échantillon, à une date, avec une liste d’attributs particulière et un calcul particulier. Ce n’est pas une propriété permanente de votre navigateur, et ce n’est pas un décompte de chaque appareil du monde. Les mises à jour du navigateur déplacent la réponse d’elles-mêmes.

Lisez la méthode avant le titre : ce qui a été collecté, comment les valeurs ont été regroupées, combien d’échantillons, et si l’affirmation de rareté vient du même panel que celui qui a produit le score. Un nombre calculé sur un petit échantillon auto-sélectionné décrit l’échantillon.

3. Séparez la reconnaissance de l’identité

Un compte persistant ou un cookie relie vos visites sans aucune empreinte astucieuse, et changer une sortie VPN n’y touche pas. Une empreinte peut reconnaître un navigateur qui revient sans nommer la personne derrière lui. Ce sont des capacités différentes, et un score les brouille ensemble. Quand un service veut une identité, il se tourne généralement d’abord vers les outils ennuyeux.

Cela explique aussi pourquoi deux personnes dans un même bureau peuvent sembler identiques à une empreinte grossière et complètement différentes à une connexion.

4. Notez ce qui déplacera le nombre de toute façon

Les réglages changent, les extensions changent et les versions du navigateur changent ce qui est observable au départ. Certaines protections normalisent délibérément des champs qu’un test compterait autrement comme distinctifs. D’autres randomisent une valeur par session, ce qui apparaît comme une instabilité plutôt qu’un anonymat.

Une empreinte qui change à chaque visite est plus difficile à relier entre sessions, et elle ne vous dit rien de votre rareté. Les deux faits font partie de la lecture.

5. Décidez de ce que vous cherchez à obtenir

Écrivez l’objectif avant d’installer quoi que ce soit. Si l’objectif est d’arrêter le suivi intersites d’un réseau publicitaire, l’hygiène des cookies et du stockage plus un bloqueur de contenu fait l’essentiel du travail. Si l’objectif est d’éviter une corrélation précise, nommez la caractéristique. Si l’objectif est d’être difficile à singulariser, l’approche honnête est une configuration courante plutôt que rare.

La partie contre-intuitive est que la recherche de la rareté vous rend plus facile à repérer. Une configuration distinctive est exactement ce qu’un script d’empreinte espère trouver. Se fondre dans la masse est un objectif différent de maximiser un nombre imprimé.