事実上ブロック不可能な「フィンガープリンティング」追跡ツール

更新、2014 年 7 月 23 日、東部時間 12:40: この記事が公開された後、YouPorn から連絡があり、Web サイトから AddThis テクノロジーを削除したとのことで、Web サイトは「AddThis に潜在的な追跡ソフトウェアが含まれていることをまったく認識していなかった」と述べました。ユーザーのプライバシーを危険にさらすことになります。」ドイツのデジタルマーケティング会社Ligatusの広報担当者も、同社はキャンバスフィンガープリンティングのテストを現在行っておらず、将来的にも使用する予定はないと述べた。

新しい、非常に執拗なタイプのオンライン追跡が、何千ものトップ Web サイトへの訪問者を追跡しています。ホワイトハウスゴブYouPorn.com へ。

キャンバス フィンガープリンティングと呼ばれるこのタイプの追跡は、訪問者の Web ブラウザに隠し画像を描画するように指示することで機能し、次の文書で初めて文書化されました。紙ベルギーのプリンストン大学とルーヴェン大学の研究者らによる。コンピュータごとに画像の描画方法が若干異なるため、画像を使用して各ユーザーのデバイスを一意に識別する番号を割り当てることができます。

他の追跡ツールと同様に、キャンバス フィンガープリントは、ユーザーがアクセスする Web サイトに基づいてユーザーのプロファイルを構築するために使用されます。プロファイルは、どの広告、ニュース記事、またはその他の種類のコンテンツがユーザーに表示されるかを決定します。

しかし、指紋をブロックするのは非常に困難です。標準の Web ブラウザーのプライバシー設定を使用したり、AdBlock Plus などの追跡防止ツールを使用したりしても指紋を防ぐことはできません。

研究者らは、主に以下の会社によって書かれたキャンバスフィンガープリンティングのコンピューターコードを発見しました。これを追加、上位 100,000 の Web サイトの 5% に掲載されています。コードの大部分は、AddThis のソーシャル メディア共有ツールを使用する Web サイト上にありました。他の指紋認証業者には、ドイツのデジタル マーケティング会社 Ligatus やカナダの出会い系サイト Plentyoffish などがあります。 (研究者がコードを発見したすべての Web サイトのリストは、ここ）。

AddThis の最高経営責任者であるリッチ・ハリス氏は、同社はコンピュータにインストールされたテキスト ファイルを介してユーザーを追跡する従来の方法である「Cookie」に代わる可能性のある方法として、今年初めにキャンバス フィンガープリンティングのテストを開始したと述べました。

「私たちはクッキーの代替品を探しています」とハリス氏はインタビューで語った。

ハリス氏は、同社はテストを開始する前にキャンバスのフィンガープリンティングによるプライバシーへの影響を検討したが、「これは当社の規定や規制、法律や方針の範囲内で十分である」と判断したと述べた。

同氏は、同社はキャンバスの指紋から収集したデータを内部の研究開発にのみ使用していると付け加えた。ユーザーがコンピュータにAddThisオプトアウトCookieをインストールした場合、同社は広告のターゲティングやパーソナライゼーションにデータを使用しないと同氏は述べた。

プリンストン大学の研究チームを率いたコンピューターサイエンス教授のアルビンド・ナラヤナン氏は、データがどのように使用されるかについてユーザーにAddThisの言葉をそのまま受け入れるよう強制することは「最善のプライバシー保証ではない」と反論した。

デバイスのフィンガープリントは、各コンピュータがわずかに異なるという事実に基づいています。各コンピュータには、異なるフォント、異なるソフトウェア、異なるクロック設定、その他の特徴的な機能が含まれています。コンピュータは、インターネット経由で別のコンピュータに接続するときに、その属性の一部を自動的にブロードキャストします。

特に Web ユーザーが広告ブロック ソフトウェアを使用したり Cookie を削除したりすることが増えているため、追跡会社は長い間、これらの違いを利用してオンライン広告目的でデバイスを一意に識別しようと努めてきました。

2012 年 5 月、カリフォルニア大学サンディエゴ校の研究者は、「キャンバス」と呼ばれる Web プログラミング機能が、一般的なデバイスの指紋とは異なる属性を取り込むことにより、新しいタイプの指紋を可能にする可能性があることに気づきました。

Tor プロジェクトは 6 月に、Web サイトがキャンバス機能を使用しようとして空のキャンバス画像を送信したときにユーザーに通知する機能をプライバシー保護 Web ブラウザに追加しました。ただし、他の Web ブラウザーでは、キャンバス フィンガープリントの通知が追加されませんでした。

1 年後、ロシアのプログラマー、ヴァレンティン・ヴァシリエフ氏がこの研究に注目し、インターネット上に投稿した無料で入手可能な指紋コードにキャンバス機能を追加しました。このコードはすぐに人気になりました。

しかしワシリエフ氏は、当時勤務していた会社が指紋技術の使用を中止することを決定したと語った。 「私たちは数百万の指紋を収集しましたが、精度が 90% だったので、使用しないことにしました。また、当社の顧客の多くはモバイルを使用しており、モバイルでは指紋認証がうまく機能しませんでした。」と彼は言いました。

ワシリエフ氏は、指紋採取によるプライバシー上の懸念については心配していないと付け加えた。

「指紋自体は数字であり、個人とはまったく関係ありません」と彼は言う。

AddThis は、新しいテストを追加し、キャンバスを使用してパングラム「Cwm fjordbank glyphs vext Quiz」（アルファベットのすべての文字を少なくとも 1 回使用する文）を描画することで、Vasilyev のコードを改良しました。これにより、同社は各文字の表示方法のわずかな違いを捉えることができます。

AddThisは、同社の技術が登場する1300万のWebサイトのうちごく一部にこの機能を展開したが、テストを近く終了することを検討していると述べた。 「十分に一意に識別できていません」とハリス氏は言う。

広報担当者によると、AddThis は「テストで最良の結果を得るために、実際の環境で研究開発プロジェクトを実施している」ため、コードが置かれている Web サイトには通知しなかったという。

同氏は、同社は広告のターゲティングやパーソナライゼーションのために、WhiteHouse.govなどの政府ウェブサイトから収集したデータ（キャンバスの指紋や従来のCookieベースの追跡など）を一切使用していないと付け加えた。

同社は、YouPorn.com などの他のサイトへの訪問者から定期的に収集するデータについて、そのような保証を提供しませんでした。 YouPorn.comは、Webサイト上でのキャンバスフィンガープリンティングのAddThisのテストを認識していたかどうかについてのProPublicaからの問い合わせに回答しなかった。

Julia Angwin は、ProPublica の上級記者です。彼女の著書『Dragnet Nation: A Quest for Privacy, Security and Freedom in a World of Relentless Surveillance』は 2014 年に出版されました。

キャンバスのフィンガープリンティングを阻止する方法:

Tor ブラウザを使用します (警告: 速度が遅くなる可能性があります)。

JavaScript がブラウザに読み込まれるのをブロックします (警告: 多くの Web サイトが破損します)。

NoScript ブラウザ拡張機能を使用して、AddThis などの既知のフィンガープリントから JavaScript をブロックします (警告: 多くの調査と意思決定が必要です)。

フィンガープリントをブロックするように設計された実験的なブルーザー拡張機能 Chameleon を試してください (警告: 現時点では技術に精通したユーザーのみにお勧めします)。

AddThis などの既知のフィンガープリントからオプトアウト Cookie をインストールします (警告: フィンガープリントは引き続き収集される可能性が高く、企業は広告のターゲティングやパーソナライゼーションにデータを使用しないことを誓約しているだけです)。

AddThis などの既知の広告追跡会社からの JavaScript をブロックするブラウザ拡張機能を使用します。拡張機能には、EasyPrivacy フィルターがインストールされた Disconnect または AdBlockPlus ブラウザー拡張機能が含まれます。

(警告: 既知の広告追跡会社のみをブロックします。他の Web サイトでは依然としてキャンバス フィンガープリントが使用されている可能性があります)

詳細については、オンライン追跡の仕組みに関する ProPublica の最近の記事をご覧ください。ますます不気味になる、Facebookはどうなったのかあなたを追跡しています、そしてどのようなツールを使用すればよいか自分を守る。