गोपनीयता में पराजयवादी भावना के खिलाफ। क्यों ब्राउज़र अभी भी फिंगरप्रिंटिंग रोक सकता है

इस छोटे से लेख में, मैं आपको बताऊंगा कि कैसे उद्योग ने वर्षों में गोपनीयता अनुसंधान की गलत व्याख्या की है और इसने इस क्षेत्र में प्रौद्योगिकी विकास को कैसे पीछे रखा है। अंत में, हाल के शोध ने स्थिति को कैसे सुधारा है, और इससे क्या लाभ हो सकते हैं।

यह एक ब्राउज़र के माध्यम से फिंगरप्रिंटिंग के बारे में है। ओएस, ब्राउज़र संस्करणों, फोंट, प्लगइन्स और कम से कम एक दर्जन अन्य कारकों में अंतर के कारण, विभिन्न उपयोगकर्ताओं के वेब ब्राउज़र अलग दिखने लगते हैं। इसका उपयोग साइटों और तृतीय-पक्ष ट्रैकर्स द्वारा अद्वितीय "फ़िंगरप्रिंट", ब्राउज़र पहचानकर्ता बनाने के लिए किया जा सकता है। ये फ़िंगरप्रिंट उपयोगकर्ताओं को ट्रैक करने के लिए कुकीज़ की तुलना में बहुत अधिक प्रभावी हैं: वे कोई निशान नहीं छोड़ते हैं और मिटाए नहीं जा सकते हैं।

सवाल यह है: फिंगरप्रिंटिंग कितनी प्रभावी है? अर्थात्, किसी विशिष्ट उपयोगकर्ता के उपकरण का फिंगरप्रिंट कितना विशिष्ट है? इंटरनेट पर गोपनीयता के लिए उत्तर का बहुत महत्व है। लेकिन वैज्ञानिक दृष्टिकोण से इस मुद्दे का अध्ययन करना मुश्किल है: हालांकि कई कंपनियों के पास विशाल फिंगरप्रिंट डेटाबेस हैं, वे उन्हें शोधकर्ताओं के साथ साझा नहीं करते हैं।

पैनोप्टिक्लिक नामक पहले बड़े पैमाने पर फिंगरप्रिंटिंग प्रयोग ने 2009 में इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन का शुभारंभ किया। हजारों स्वयंसेवकों ने panopticlick.eff.org का दौरा किया और अनुसंधान के लिए अपने ब्राउज़र को फिंगरप्रिंट करने के लिए सहमत हुए। प्रयोग ने एक अद्भुत परिणाम दिखाया: पूरे नमूने में 83% उपयोगकर्ताओं ने अद्वितीय उंगलियों के निशान दिखाए। फ्लैश या जावा सक्षम वाले उपयोगकर्ताओं के लिए, उंगलियों के निशान और भी अद्वितीय हैं: 94%। फ्रांस में INRIA के शोधकर्ताओं द्वारा किए गए एक और भी बड़े नमूने के एक प्रयोग ने एक समान परिणाम दिखाया। इस बीच, हमारे सहित विभिन्न शोधकर्ताओं ने कहा कि ब्राउज़र में फ़िंगरप्रिंटिंग के लिए उपयोग किए जाने वाले कार्यों की संख्या बढ़ रही है: कैनवस , बैटरी, ऑडियो और वेबआरटीसी ।

निष्कर्ष स्पष्ट था: फिंगरप्रिंटिंग बेहद प्रभावी है। ब्राउज़र स्क्रिप्ट को कम जानकारी देकर इस खतरे का सामना नहीं कर सकता है: बहुत सारी जानकारी लीक, कई हमले वैक्टर। इसके परिणाम गंभीर हैं। ब्राउज़र डेवलपर्स इस नतीजे पर पहुंचे कि वे तीसरे पक्ष की निगरानी का सामना नहीं कर सकते थे, और इसलिए एक्सटेंशन की दया पर विभाग की गोपनीयता की रक्षा करना। [1] लेकिन इन एक्सटेंशनों ने फिंगरप्रिंटिंग को सीमित करने की कोशिश नहीं की। उनमें से अधिकांश ने एक जटिल योजना के अनुसार काम किया: उन्होंने मैन्युअल रूप से संकलित सूचियों के अनुसार हजारों स्क्रिप्ट-ट्रैकर्स को अवरुद्ध कर दिया, जब नए खिलाड़ी दिखाई दिए तो लगातार कैच-अप खेल रहे थे।

लेकिन एक मोड़ था: INRIA टीम (पिछले अध्ययनों के कुछ लेखकों सहित) एक बड़ी फ्रांसीसी वेबसाइट के साथ बातचीत करने और प्रिंट के लिए अपने आगंतुकों का परीक्षण करने में कामयाब रही। परिणाम कुछ महीने पहले प्रकाशित हुए थे, और इस बार परिणाम पूरी तरह से अलग हैं: केवल एक तिहाई उपयोगकर्ताओं के पास अद्वितीय उंगलियों के निशान (83% और 94% पहले की तुलना में) हैं, शोधकर्ताओं ने 17 संकेतों के पूर्ण सेट का उपयोग करने के बावजूद। मोबाइल उपयोगकर्ताओं के लिए, संख्या और भी कम है: 20% से कम। इन अंतरों को दो कारणों से समझाया गया है: नए अध्ययन में नमूने की वृद्धि और इस तथ्य से कि प्रतिभागियों के आत्म-चयन ने पिछले अध्ययनों में एक निश्चित पूर्वाग्रह पेश किया है। अन्य कारक हैं: इंटरनेट धीरे-धीरे फ्लैश और जावा जैसे प्लगइन्स से छुटकारा पा रहा है, इसलिए फिंगरप्रिंटिंग की संभावना में गिरावट जारी रहनी चाहिए। परिणामों के सावधानीपूर्वक अध्ययन से पता चलता है कि अधिकतम एंट्रोपी के साथ विशेषताओं को सीमित करने के लिए सरलतम ब्राउज़र हस्तक्षेप से भीड़ में छिपाने की उपयोगकर्ताओं की क्षमता में काफी सुधार होगा।

Apple ने हाल ही में घोषणा की कि सफारी फिंगरप्रिंटिंग को सीमित करने की कोशिश करेगी। यह संभावना है कि नवीनतम प्रयोग ने इस निर्णय को प्रभावित किया। यह उल्लेखनीय है कि कुछ गोपनीयता विशेषज्ञ फिंगरप्रिंटिंग के खिलाफ सुरक्षा को बेकार मानते हैं, और यहां तक ​​कि W3C कंसोर्टियम ने फिंगरप्रिंटिंग को कम करने के तरीके पर नए मानकों के डेवलपर्स के लिए लंबे समय तक प्रकाशित सिफारिशें दी हैं । बहुत देर नहीं हुई है। लेकिन अगर 2009 में हमें पता था कि हम आज क्या जानते हैं, तो इससे ब्राउज़र को ऐसी सुरक्षा विकसित करने और तैनात करने के लिए प्रेरित किया जाएगा।

परिणामों की गलत व्याख्या करने का मुख्य कारण क्या है? एक सरल सबक यह है कि आँकड़े एक जटिल विज्ञान है, और गैर-प्रतिनिधि नमूने अनुसंधान निष्कर्षों को पूरी तरह से विकृत कर सकते हैं। लेकिन एक और निष्कर्ष है जिसे स्वीकार करना अधिक कठिन है: एक हालिया अध्ययन आम उपयोगकर्ताओं की जांच करने में बेहतर है क्योंकि शोधकर्ता उनसे पूछते या सूचित नहीं करते हैं। [2] इंटरनेट प्रयोगों में, पारंपरिक सूचित सहमति और परिणामों की विश्वसनीयता के बीच विरोधाभास है। इस समस्या को हल करने के लिए, नए नैतिक मानकों की आवश्यकता है।

एक और सबक यह है कि गोपनीयता की सुरक्षा सही नहीं है। कई शोधकर्ता और इंजीनियर "सभी या कुछ नहीं" के संदर्भ में गोपनीयता के बारे में सोचते हैं: एक गलती सब कुछ नष्ट कर देती है, और यदि सुरक्षा सही नहीं है, तो आपको इसका उपयोग बिल्कुल नहीं करना चाहिए। यह कुछ अनुप्रयोगों के लिए समझ में आ सकता है, जैसे कि टोर ब्राउज़र, लेकिन प्रमुख ब्राउज़रों के सामान्य उपयोगकर्ताओं के लिए, खतरे का मॉडल हजारों छोटे कटौती से मौत है। गोपनीयता सुरक्षा निगरानी अर्थव्यवस्था को बाधित करने का अच्छा काम करती है ।

अंत में, सुरक्षा की निरर्थकता के बारे में तर्क गोपनीयता में पराजय का एक उदाहरण है। इस क्षेत्र में बुरी खबरों के हमले से सामना करते हुए, हम आमतौर पर कई तरह की सीखी हुई असहायता हासिल करते हैं और सरलीकृत निष्कर्ष पर आते हैं कि गोपनीयता मर रही है और इसके बारे में कुछ भी नहीं किया जाना है। लेकिन यह स्थिति सबूत द्वारा समर्थित नहीं है: वास्तव में, हम देखते हैं कि इस क्षेत्र में संतुलन का एक नया बिंदु लगातार सुसंगत है। यद्यपि हमेशा गोपनीयता का उल्लंघन होता है, समय-समय पर उन्हें कानूनी, तकनीकी और सामाजिक सुरक्षा तंत्र द्वारा मुआवजा दिया जाता है।

ब्राउज़र के माध्यम से फ़िंगरप्रिंटिंग आज गोपनीयता की लड़ाई में सबसे आगे है। GDPR ने ऐसा करने वाली कंपनियों के लिए जीवन मुश्किल बना दिया है। ब्राउज़र डेवलपर्स भी इस उलट प्रथा से गंभीरता से निपटने के लिए आए हैं।

[1] एक स्पष्ट अपवाद टो ब्राउज़र है, लेकिन आपको इसके लिए साइटों पर प्रदर्शन और टूटे कार्यों के गंभीर नुकसान के साथ भुगतान करना होगा। एक अन्य अपवाद ब्रेव है, जिसके उपयोगकर्ता गोपनीयता बनाए रखने के बदले में कुछ असुविधा के साथ आने को तैयार हैं। [वापस]

[2] प्रयोग ने उन उपयोगकर्ताओं को लिया जो पहले कुकीज़ स्वीकार करने के लिए सहमत थे, लेकिन उन्हें अध्ययन के बारे में विशेष रूप से सूचित नहीं किया गया था। [वापस]