Chrome вас выдал. Оказывается, Google годами игнорирует простейший способ шпионить за пользователями

Chrome давно продают как безопасный браузер, но с защитой от скрытой слежки у Google, похоже, большие проблемы. Консультант по приватности Александр Ханфф утверждает, что Chrome почти не мешает сайтам собирать цифровой отпечаток устройства и превращать набор технических мелочей в удобный инструмент для отслеживания человека в сети.

Ханфф пишет, что прямо сейчас в Chrome работают как минимум 30 отдельных техник браузерного фингерпринтинга. Речь не о лабораторных атаках из научных статей, а о рабочих механизмах, которые уже используют миллионы сайтов без ведома пользователей и без их согласия. По словам автора, браузер Google почти не получил встроенной защиты от подобных методов, хотя Chrome остается самым популярным браузером в мире.

Браузерный отпечаток складывается из множества деталей: операционной системы, разрешения экрана, набора шрифтов, особенностей графики, звука и сетевого поведения. Часть сведений сервер получает напрямую, часть собирают скрипты на странице и сторонние элементы отслеживания. В результате даже без куки-файлов сайт может распознать конкретное устройство и связать визиты между разными площадками.

Около десяти лет назад Apple, Mozilla и другие разработчики начали активнее ограничивать слежку через cookies. После этого рекламная индустрия сильнее переключилась на фингерпринтинг, потому что такой способ заметно сложнее заблокировать. Технологию применяют не только для рекламы, но и для выявления мошенничества, хотя для приватности массовый сбор подобных данных создает серьезный риск.

Ханфф напоминает, что проблема давно вышла за пределы узкоспециализированной темы. Исследование 2021 года показало, что методы браузерного фингерпринтинга встречались более чем на 10 процентах из 100 тысяч самых популярных сайтов и более чем на четверти ресурсов из топ-10 тысяч. Другая научная работа, опубликованная в прошлом году, пришла к еще более тревожному выводу: чтобы распознать 95 процентов людей, достаточно знать всего четыре сайта, которые пользователь посещает чаще всего. В таком случае отпечатком становится уже не браузер, а само поведение человека.

Google еще в 2019 году запустила инициативу Privacy Sandbox и тогда прямо заявляла, что блокировка сторонних cookies подталкивает рынок к непрозрачным техникам вроде фингерпринтинга. Компания называла такой подход неправильным и обещала создать более приватные стандарты для интернета. Однако спустя шесть лет проект так и не дал заметной защиты именно от цифровых отпечатков, а затем был закрыт. За несколько месяцев до отказа от Privacy Sandbox Google уже смягчила позицию и фактически допустила использование фингерпринтинга при условии раскрытия такой практики.

Ханфф отдельно сравнивает Chrome с конкурентами. Brave, по его словам, использует farbling, Firefox предлагает механизм privacy.resistFingerprinting, а Chrome не предлагает сопоставимой встроенной защиты. В числе уязвимых поверхностей автор перечисляет Canvas, WebGL, WebGPU, AudioContext, шрифты, параметры экрана и навигации, утечки IP через WebRTC, TLS, рендеринг эмодзи, синтез речи, раскладку клавиатуры и другие признаки. Кроме того, он описывает 23 механизма хранения и отслеживания, среди которых куки, bounce tracking и CNAME cloaking.

Тема выглядит особенно неприятно на фоне свежего доклада Citizen Lab. Исследователи показали, как данные рекламной слежки продают государственным структурам и правоохранительным органам по всему миру. Один из упомянутых продуктов автоматически собирает IP-адрес, тип браузера, язык, версию, плагины, сведения об операционной системе, тип устройства, данные о CPU и GPU, разрешение экрана, информацию о провайдере, примерную геолокацию, действия пользователя, часовой пояс, заряд батареи и статус зарядки. В набор таких возможностей входит и фингерпринтинг устройства.

Google запрос на комментарий не прокомментировала. Ханфф в финале пишет, что все описанные методы давно работают в реальном интернете и ежедневно применяются против миллиардов людей. Понять, как устроена слежка, уже мало. Следующий шаг, по его мнению, состоит в том, чтобы научиться reliably выявлять и показывать такие механизмы пользователям.