Dalam artikel singkat ini, saya akan memberi tahu Anda bagaimana industri ini telah salah menafsirkan penelitian privasi selama bertahun-tahun dan bagaimana ini menghambat pengembangan teknologi di bidang ini. Akhirnya, bagaimana penelitian baru-baru ini memperbaiki situasi, dan manfaat apa yang dapat diambil darinya.
Ini tentang sidik jari melalui browser. Karena perbedaan dalam OS, versi browser, font, plugin, dan setidaknya selusin faktor lainnya, browser web dari pengguna yang berbeda cenderung terlihat berbeda. Ini dapat digunakan oleh situs dan pelacak pihak ketiga untuk membuat "sidik jari" unik, pengidentifikasi browser. Sidik jari ini jauh lebih efektif daripada cookie untuk melacak pengguna: mereka tidak meninggalkan jejak dan tidak dapat dihapus.
Pertanyaannya adalah: seberapa efektifkah sidik jari? Artinya, seberapa unik sidik jari dari perangkat pengguna yang khas? Jawabannya sangat penting untuk privasi di Internet. Tetapi mempelajari masalah ini dari sudut pandang ilmiah sulit: walaupun banyak perusahaan memiliki basis data sidik jari yang besar, mereka tidak membaginya dengan para peneliti.
Eksperimen sidik jari skala besar pertama yang disebut Panopticlick meluncurkan Electronic Frontier Foundation pada tahun 2009. Ratusan ribu relawan mengunjungi
panopticlick.eff.org dan setuju untuk sidik jari browser mereka untuk penelitian. Eksperimen menunjukkan
hasil yang luar biasa: 83% pengguna di seluruh sampel menunjukkan sidik jari yang unik. Untuk pengguna dengan Flash atau Java diaktifkan, sidik jari bahkan lebih unik: 94%.
Eksperimen oleh para peneliti dari INRIA di Perancis dengan sampel yang lebih besar menunjukkan hasil yang umumnya serupa. Sementara itu, berbagai peneliti, termasuk kami, mengatakan bahwa di browser jumlah fungsi yang dapat digunakan untuk sidik jari meningkat:
Kanvas ,
Baterai, Audio dan WebRTC .
Kesimpulannya jelas: sidik jari sangat efektif. Peramban tidak dapat mengatasi ancaman ini dengan memberi skrip lebih sedikit informasi: terlalu banyak kebocoran informasi, terlalu banyak vektor serangan. Konsekuensinya serius. Pengembang peramban sampai pada kesimpulan bahwa mereka tidak dapat mengatasi pengawasan pihak ketiga, dan karenanya melindungi privasi departemen dengan belas kasihan ekstensi.
[1] Tetapi ekstensi ini juga tidak berupaya membatasi sidik jari. Sebagian besar dari mereka bekerja sesuai dengan skema yang rumit: mereka memblokir ribuan pelacak skrip berdasarkan daftar yang dikompilasi secara manual, terus-menerus bermain mengejar ketika pemain baru muncul.
Tetapi ada gilirannya: tim INRIA (termasuk beberapa penulis studi sebelumnya) berhasil bernegosiasi dengan situs web besar Prancis dan menguji pengunjungnya untuk cetak. Hasilnya
diterbitkan beberapa bulan lalu, dan kali ini hasilnya benar-benar berbeda: hanya sepertiga pengguna memiliki sidik jari yang unik (dibandingkan dengan 83% dan 94% sebelumnya), meskipun para peneliti menggunakan 17 tanda penuh. Untuk pengguna seluler, angkanya bahkan lebih rendah: kurang dari 20%. Perbedaan-perbedaan ini dijelaskan oleh dua alasan: peningkatan sampel dalam studi baru dan fakta bahwa seleksi mandiri peserta tampaknya telah menimbulkan bias tertentu dalam studi sebelumnya. Ada beberapa faktor lain: Internet secara bertahap menyingkirkan plugin seperti Flash dan Java, sehingga kemungkinan sidik jari harus terus menurun. Penelitian yang cermat terhadap hasil menunjukkan bahwa intervensi peramban yang paling sederhana untuk membatasi atribut dengan entropi maksimum akan secara signifikan meningkatkan kemampuan pengguna untuk bersembunyi di tengah keramaian.
Apple baru-baru ini
mengumumkan bahwa Safari akan mencoba membatasi sidik jari. Kemungkinan eksperimen terakhir memengaruhi keputusan ini. Patut dicatat bahwa beberapa pakar privasi menganggap perlindungan terhadap sidik jari tidak berguna, dan bahkan konsorsium W3C telah lama menerbitkan
rekomendasi untuk pengembang standar baru tentang cara meminimalkan sidik jari. Belum terlambat. Tetapi jika pada tahun 2009 kami tahu apa yang kami ketahui hari ini, maka ini akan mendorong browser untuk mengembangkan dan menggunakan perlindungan tersebut.
Apa alasan utama untuk salah menafsirkan hasil? Satu pelajaran sederhana adalah bahwa statistik adalah ilmu yang kompleks, dan sampel yang tidak representatif dapat sepenuhnya mendistorsi temuan penelitian. Tetapi ada kesimpulan lain yang lebih sulit diterima: penelitian terbaru lebih baik dalam memeriksa pengguna biasa karena peneliti tidak bertanya atau memberi tahu mereka.
[2] Dalam percobaan Internet, ada kontradiksi antara persetujuan berdasarkan informasi tradisional dan keandalan hasil. Untuk mengatasi masalah ini, diperlukan standar etika baru.
Pelajaran lain adalah bahwa perlindungan privasi tidak harus sempurna. Banyak peneliti dan insinyur memikirkan kerahasiaan dalam istilah "semua atau tidak sama sekali": satu kesalahan menghancurkan segalanya, dan jika perlindungannya tidak sempurna, maka Anda tidak boleh menggunakannya sama sekali. Ini mungkin masuk akal untuk beberapa aplikasi, seperti peramban Tor, tetapi untuk pengguna biasa peramban utama, model ancamannya adalah kematian akibat ribuan pemotongan kecil. Perlindungan privasi melakukan pekerjaan yang baik untuk mengganggu
ekonomi pengawasan .
Akhirnya, argumen tentang kesia-siaan perlindungan adalah contoh dari kekalahan dalam privasi. Menghadapi gempuran berita buruk di bidang ini, kami biasanya memperoleh berbagai
ketidakberdayaan yang terpelajar dan sampai pada kesimpulan yang disederhanakan bahwa privasi sedang sekarat dan tidak ada yang bisa dilakukan untuk mengatasinya. Tetapi posisi ini tidak didukung oleh bukti: pada kenyataannya, kita melihat bahwa di area ini titik keseimbangan baru selalu konsisten. Meskipun selalu ada pelanggaran privasi, dari waktu ke waktu mereka dikompensasi oleh mekanisme perlindungan hukum, teknologi dan sosial.
Sidik jari melalui browser saat ini tetap menjadi yang terdepan dalam pertempuran untuk privasi. GDPR telah
membuat hidup
menjadi sulit bagi perusahaan yang melakukan ini. Pengembang peramban juga secara serius menangani praktik keji ini.
[1] Satu pengecualian yang jelas adalah browser Tor, tetapi Anda harus membayarnya dengan kehilangan performa dan fungsi yang rusak pada situs. Pengecualian lain adalah Brave, yang penggunanya dianggap bersedia menerima ketidaknyamanan dengan imbalan menjaga privasi. [kembali]
[2] Eksperimen mengambil pengguna yang sebelumnya setuju untuk menerima cookie, tetapi mereka tidak secara khusus diberitahu tentang penelitian. [kembali]