GlassBox – бесплатный инструмент с открытым исходным кодом, который показывает, какие сведения обычный сайт может получить из браузера без установки программы на компьютер. Сервис проверяет характеристики устройства, браузера и окружения, а затем примерно оценивает, насколько получившийся цифровой отпечаток выделяется среди других пользователей.
Проект разработала HotStart Labs. Исходный код опубликован в репозитории под лицензией MIT, а готовую проверку можно запустить на сайте GlassBox. Сервис пригодится пользователям, которые хотят понять, почему блокировка файлов cookie или смена IP-адреса не гарантируют анонимность в интернете.
Что такое цифровой отпечаток браузера и как работает GlassBox
Сайту необязательно знать имя человека, адрес электронной почты или номер телефона, чтобы отличать одного посетителя от другого. Браузер передаёт множество технических характеристик. Среди них версия браузера, размер экрана, язык системы, часовой пояс, возможности видеокарты, доступные программные интерфейсы, шрифты и особенности обработки графики или звука.
Каждый отдельный параметр обычно встречается у большого числа людей. Комбинация десятков признаков встречается намного реже. Сайт может сохранить такой набор как цифровой отпечаток и попробовать узнать тот же браузер при следующем посещении, даже если пользователь удалил часть обычных идентификаторов.
GlassBox воспроизводит подобные проверки прямо в браузере пользователя и показывает полученные значения. В описании проекта разработчик указывает примерно на 31 семейство методов. Текущая веб-версия разбивает результаты на большее число отдельных панелей, поэтому количество видимых тестов может отличаться от числа семейств проверок в документации.
Полученные сигналы GlassBox объединяет в несколько групп. Одни в большей степени связаны с оборудованием, другие – с сочетанием браузерного движка и устройства, третьи характеризуют версию браузера или текущий сеанс.
Процент уникальности в GlassBox нельзя воспринимать как точную вероятность того, что сайт узнает конкретного человека. Разработчик прямо называет показатель модельной оценкой, а не результатом сравнения с реальной базой посетителей.
Какие данные о браузере проверяет GlassBox
GlassBox проверяет обычные свойства браузера и более сложные методы построения цифрового отпечатка. В частности, сервис получает сведения о браузерном движке, экране, языке, часовом поясе и региональных настройках.
Отдельные тесты работают с Canvas. Браузер получает команду нарисовать изображение, после чего программа анализирует результат. На итог могут влиять видеокарта, драйвер, операционная система, браузер и особенности обработки графики. Похожим образом работают проверки WebGL, WebGL2 и WebGPU.
GlassBox также анализирует обработку звука. Браузер создаёт или обрабатывает звуковой сигнал, а небольшие различия вычислений помогают получить дополнительный признак устройства. Именно интерес к подобным методам, по словам разработчика Дэвида Дейла, стал одной из причин появления проекта.
В результаты входят доступные шрифты, поддерживаемые форматы мультимедиа, голоса синтеза речи, набор программных интерфейсов браузера и некоторые математические вычисления. GlassBox также анализирует хранилище браузера, разрешения, сведения об устройствах мультимедиа, поддержку различных функций CSS и другие параметры окружения.
Отдельная проверка связана с WebRTC. Технология нужна, например, для видеозвонков и прямой передачи мультимедиа между браузерами. В некоторых конфигурациях WebRTC может раскрывать сетевые сведения, поэтому подобный тест часто используют, чтобы проверить защиту от утечки IP-адреса.
GlassBox умеет сравнивать сохранённые результаты разных запусков. Пользователь может скопировать отчёт из одного браузера, открыть другой браузер и проверить, насколько совпадают характеристики устройства. Такой эксперимент наглядно показывает, почему некоторые признаки способны связывать сеансы даже после смены браузера.
Как проверить браузер через GlassBox
Для обычной проверки устанавливать программу или расширение не требуется.
Откройте GlassBox → дождитесь завершения тестов → посмотрите общий показатель идентифицируемости → раскройте интересующие панели → проверьте Canvas, WebGL, звук, WebRTC, шрифты, сетевые параметры и другие признаки.
Красивое число в верхней части страницы не должно становиться главным результатом проверки. Полезнее посмотреть, какие именно параметры браузер раскрывает без дополнительного разрешения и какие характеристики сохраняются после перезапуска браузера или смены сети.
Для эксперимента можно провести несколько запусков. Сначала проверить обычный браузер, затем приватное окно, другой браузер или Tor Browser. После каждого запуска можно сравнить результаты и посмотреть, какие характеристики изменились, а какие остались прежними.
Есть нюанс, связанный с конфиденциальностью самого теста. Большинство проверок выполняется локально. Однако текущая версия GlassBox при включённой функции геолокации обращается к внешним службам, чтобы получить сведения о публичном IP-адресе, сети и предполагаемом использовании VPN. На странице сервиса сейчас перечислены ipwho.is, ipapi.is и geojs.io. Пользователь, которому нужна полностью локальная проверка, может отключить функцию «Geo».
Разработчик также предупреждает, что встроенная в другую страницу версия сервиса может получить меньше данных. Браузер способен заблокировать WebRTC, датчики, мультимедийные устройства или разрешения внутри встроенного элемента. Для полноценной проверки лучше открывать GlassBox как отдельный сайт.
Как уменьшить цифровой отпечаток браузера
Попытка вручную изменить каждый параметр не всегда повышает конфиденциальность. Слишком необычная конфигурация может дать обратный результат. Если большинство пользователей сообщает один набор характеристик, а браузер конкретного человека показывает редкое сочетание подменённых параметров, отличить такой браузер становится проще.
Поэтому разработчик GlassBox советует стремиться не к максимально необычному набору защитных настроек, а к большой группе пользователей с одинаковой конфигурацией. Подробные рекомендации опубликованы в официальном руководстве.
Для задач, где требуется повышенная анонимность, один из наиболее последовательных подходов предлагает Tor Browser. Разработчики Tor стараются унифицировать характеристики пользователей, ограничивают часть способов получения цифрового отпечатка и применяют другие механизмы защиты. Самовольная установка множества дополнений или изменение стандартных параметров Tor Browser может, напротив, сделать конфигурацию более редкой.
Некоторые средства защиты от цифровых отпечатков есть и в других браузерах. Однако блокировка Canvas, WebGL или отдельных программных интерфейсов способна нарушить работу сайтов. Универсального переключателя, который одновременно полностью скрывает браузер и никогда не ломает веб-страницы, не существует.
VPN решает другую задачу. Сервис скрывает публичный IP-адрес пользователя от посещаемого сайта, но не обязательно меняет характеристики экрана, видеокарты, Canvas, WebGL, шрифтов и браузерного движка. Поэтому VPN нельзя считать полной защитой от цифровых отпечатков.
Похожее ограничение касается удаления файлов cookie. Очистка cookie удаляет один из способов сохранения идентификатора, но технические характеристики устройства после очистки могут остаться прежними.
Чтобы дополнительно проверить результат, можно использовать независимые проекты EFF и AmIUnique. В отличие от полностью локальной модели GlassBox, подобные сервисы могут сравнивать отпечаток с данными других посетителей. Поэтому результаты разных инструментов нельзя напрямую сопоставлять как одинаковые измерения.
Вопросы и ответы
GlassBox определяет, кто именно открыл сайт?
Нет. GlassBox анализирует технические характеристики браузера и устройства. Высокая уникальность отпечатка означает, что сочетание признаков может хорошо отличать браузер от других, но само по себе не раскрывает имя или личность владельца.
Можно ли доверять проценту идентифицируемости GlassBox?
Показатель полезен как ориентир, но не как точное измерение. GlassBox не сравнивает браузер с полной актуальной базой пользователей интернета. Сервис рассчитывает оценку по известной информативности отдельных сигналов и учитывает часть зависимостей между ними.
Поможет ли режим инкогнито скрыть цифровой отпечаток?
Обычно нет. Приватный режим ограничивает сохранение истории, файлов cookie и некоторых локальных данных после закрытия окна, но многие характеристики устройства и браузера остаются доступными сайту.
Скрывает ли VPN цифровой отпечаток браузера?
VPN в первую очередь меняет видимый сайту публичный IP-адрес. Canvas, WebGL, разрешение экрана, шрифты, браузерный движок и многие другие признаки VPN обычно не меняет.
Безопасно ли запускать GlassBox?
Исходный код проекта открыт, а основная часть тестов выполняется в браузере. При включённой функции геолокации сервис обращается к внешним службам, чтобы получить сведения о публичном IP-адресе. Для полностью локальной проверки функцию «Geo» можно отключить. Перед работой с инструментом также можно самостоятельно изучить исходный код на GitHub.
Итог. GlassBox хорошо показывает главную проблему цифровых отпечатков браузера. Сайту не нужен один секретный идентификатор, если сочетание десятков обычных характеристик уже позволяет отличать браузеры друг от друга. Сервис полезнее воспринимать не как измеритель точного процента анонимности, а как наглядный способ увидеть доступные сайту данные и проверить, какие настройки действительно меняют цифровой отпечаток.
Используйте GlassBox и похожие инструменты, чтобы проверять собственные устройства, браузеры и системы, на тестирование которых у вас есть разрешение. При сборе или обработке данных других пользователей соблюдайте законодательство РФ, включая применимые требования к персональным данным и тайне связи.
