Technical Notes
ブラウザーフィンガープリントは、ブラウザー、デバイス、ネットワークプロトコルが露出するシグナルを組み合わせたものです。このページはシグナルをローカルで収集し、収集状況とハッシュを表示します。比較対象となる母集団のデータがないため、これらのシグナルがどれほど珍しいか、サイトをまたいだ識別に使えるかどうかは判断できません。
ブラウザーフィンガープリントとは、サイトがJavaScriptやブラウザーAPIを通じて収集する環境の特徴の集まりです。ブラウザーのバージョン、OSプラットフォーム、画面のパラメーター、言語、タイムゾーン、フォント、Canvas / WebGLの描画結果、AudioContextの結果、CPUのコア数、メモリ容量の目安などが含まれます。個々の項目はたいてい目立つものではありませんが、組み合わせると特定のデバイスやブラウザー構成を識別できるほどになることがあります。
Cookieとは仕組みが異なります。Cookieはサイトが書き込む目印で、自分で削除できますが、フィンガープリントは主にブラウザーやハードウェアの自然な違いから生じます。そのため、プライベートウィンドウを使ったりCookieを削除したりしても、一部のサイトは安定したフィンガープリントの組み合わせによって訪問を結び付けることができます。
このツールは、Canvas、WebGL、オーディオのレンダリング結果、フォント、画面、ハードウェア、ブラウザー / システム、タイムゾーンのシグナルをローカルで収集します。収集に成功したシグナルにはローカルハッシュが生成されます。結果は今回の実行で取得できたシグナルを示すもので、母集団における一意性を示すものではありません。また、フィンガープリントの生データはアップロードされません。
トラッカーは、必ずしもあなたの名前や実際のIPアドレスを知る必要はありません。ブラウザーの組み合わせが十分に安定していれば、「今日の訪問」と「先週の訪問」を同じ環境として結び付けることができます。広告システム、不正対策、アカウントのリスク管理、決済のリスク管理はいずれも同様の手法を使っていますが、目的は異なります。プライバシーの追跡に使うものもあれば、自動化、大量登録、異常なログインの検出に使うものもあります。
JA3とJA4は、TLSハンドシェイクのレベルでのネットワークフィンガープリントです。ブラウザーがHTTPSサイトに接続するとき、TLSバージョン、暗号スイート、拡張、曲線などを含むClient Helloを送信します。JA3はこれらのフィールドを連結してハッシュ化します。JA4はJA3を改良したもので、フィールドの順序の変化による誤差を減らしており、現代のTLSトラフィックの分類により適しています。
この種のフィンガープリントは、ページ側のJavaScriptで完全に読み取れるものではありません。フロントエンドのページはCanvas、WebGL、フォントなどのブラウザー側の特徴を検出できますが、実際のJA3 / JA4フィンガープリントは通常、サーバー側の接続の入口で記録するか、CORSに対応したTLSエコーサービスを使う必要があります。つまり、ブラウザーフィンガープリントは「ページから見えるもの」を、JA3 / JA4は「ネットワークのハンドシェイクがどう見えるか」を反映しています。
フィンガープリント対策は、すべてのフィールドをランダム化することではありません。リスク管理システムにとって、「毎回異なる」ブラウザーは普通のブラウザーよりも疑わしく見えることが多いのです。より確実な方法は、特徴的な露出を減らし、環境の整合性を保ち、同じアカウントでシステム、言語、タイムゾーン、GPU、ネットワークの出口を頻繁に切り替えないことです。
まとめると、優れたプライバシー環境とは「何もないように見える」ものではなく、「普通で安定していて、論理的に整合した本物のブラウザーに見える」ものです。フィンガープリントの一意性を下げるときは、特定のフィールドを隠したり変更したりする前に、まず整合性と安定性を優先してください。