关于如何识别用户指纹的全面研究

野外 Web 浏览器指纹的大规模测量和实际缓解 Tom Ritter 1 , Fatih Kilic 2 , Frederik Braun 1 , Elisa Luo 3 , Geoffrey M. Voelker 3 , Stefan Savage 3 , Christoph Kerschbaumer 1 1 Mozilla Corporation · 2 多伦多大学 · 3 加州大学圣地亚哥分校 这是 Mozilla 在浏览器上运行的一项研究的配套网站指纹识别。在近 2500 万 Firefox 版本用户的帮助下，我们测量了浏览器的真实可识别性，发现了哪些特征使它们独一无二，并用它来设计 Firefox 143 中附带的指纹保护。在这里，您可以阅读论文及其主要发现，浏览 PDF 没有空间的完整附录数据，下载隐私保护聚合数据和分析代码，了解数据是如何收集的，并运行交互式测试，将您自己的浏览器与测量的人群进行比较。如果您有数据可以回答的问题，还有一个讨论板可以建议后续研究。浏览器指纹识别是现代网络上一种已知的跟踪机制，但其在现实世界中对用户的有效性却很难衡量。为了建立强大的保护措施，我们测量了大量、公正的人群的独特性，以确定哪些单独的指标导致用户是独特的。这些测量使用了 OHTTP 等多种隐私保护技术，以确保无法在网络上识别或跟踪任何个人用户。我们在 Firefox 中内置的保护措施避免了网络兼容性问题，同时将唯一可识别用户的百分比从 75% 降低到 46%。测试您自己的浏览器 → 阅读本文 完整附录数据 下载数据 显示被三个商业指纹识别器视为唯一的用户的百分比。每个步骤都会在之前的所有保护之上添加一项保护，并在四个操作系统中进行加权。论文摘要网络浏览器指纹识别已成为现代网络上的关键跟踪机制，但其在现实世界中的有效性以及现有缓解措施中哪些可提供大规模价值仍未被充分了解。在本文中，我们基于来自近 2500 万 Firefox 版本用户的真实遥测数据，对浏览器指纹进行了大规模研究。该数据集使我们能够量化人口规模的用户独特性，并确定哪些特征对这种独特性贡献最大。我们的分析表明，指纹识别能力很大程度上是由一小组高影响力特征及其组合驱动的，而不是许多独立测量值的累积。基于这些见解，我们根据指纹识别保护对独特性和队列结构的影响来提出和评估指纹识别保护，并设计数据驱动的缓解措施。 Firefox 143 中提供的这些保护将唯一可识别用户的比例从 75% 减少到 46%，同时保持网络兼容性，这表明在主流浏览器中可以实现指纹识别的实际减少。我们的主要发现 以下是我们希望通过本文向您展示的内容以及我们更广泛的工作范围。独特性是由少量指标造成的 - 没有一个或三十个指纹测试站点可以从您的浏览器中获取看似无穷无尽的测量列表。如果用户拥有唯一的指纹，通常不是因为单次测量，但也不是因为 20 或 30 次测量。正是少数几个指标使用户变得独一无二。事实上，它非常接近80/20规则。具体来说，在所有被 Fingerprint Pro（我们建模的最挑剔的指纹识别器）视为唯一的用户中，其中 80% 在仅 8 个指标后就是唯一的，而指纹识别器总共收集了 50 多个指标。 Signifyd 收集了更多指标，但将较少的用户识别为唯一：尽管收集了超过 80 个指标，但它认为唯一的用户中的 80% 将在 9 个指标后被识别。这些数字仅代表每个操作系统的任何内容每当有人在描述“有多少用户是唯一的”时引用单个百分比时 - 您应该保持怀疑。因为这会瓦解多个行为截然不同的不同群体。首先，作为基准，您的操作系统总是会暴露在指纹识别器中。我们始终在网络兼容性的约束下工作，对用户的操作系统撒谎会破坏快捷键并给您带来错误的下载等问题。因此，如果我们知道该网站无论如何都会了解您的真实操作系统，我们就可以使用它来细分人群并单独进行分析。当您这样做时，您会发现每个操作系统的行为都不同，因为它们具有不同的重要指标。诚然，给出一个简洁的工作总结并提供四组数字是非常困难的——所以即使我们也会陷入提供单个数字的陷阱，就像我们在上一段中所做的那样。但每次我们有一个百分比时，我们都会在某个地方将该数字按操作细分