VPNでも隠せないブラウザの秘密

想像してみてください。ブラウザで小さなJavaScriptページを開き、次に「シークレットモード」で開き、さらにVPNを有効にして開きます。そのたびに、全く同じ固有識別子が返されます。この単純なデモンストレーションは、一般的なプライバシー保護ツールを回避する追跡手法を明らかにしています。

多くの人は、シークレットモードを使えばオンラインで透明人間になれると考えています。しかし、それは違います！シークレットモードは主に、ブラウザの履歴やCookieの永続性など、デバイス上のローカルデータを制限するものです。一方、VPNはインターネットトラフィックを再ルーティングし、表示されるIPアドレスを変更して物理的な場所を隠蔽します。どちらも、ブラウザ自体の特性を根本的に変えるものではありません。

重要な違いはここにあります。従来の追跡は、ウェブサイトがユーザーを「記憶」するためにコンピュータに保存する小さなファイルである「Cookie」に依存することがよくあります。しかし、ブラウザフィンガープリントは異なります。これは、ブラウザが訪れるすべてのウェブサイトに「自発的に」提供する情報を収集することで、ローカルに何も保存することなく身元を特定します。つまり、Cookieは設定されず、削除すべきローカルデータも存在しないのです。

コンピュータ版の「20の質問」ゲームを想像してください。ブラウザフィンガープリントは、画面の解像度、優先言語、タイムゾーン、ブラウザのバージョン、さらにはプロセッサのコア数など、一見無害な詳細情報をブラウザに尋ねることから始まります。個々の詳細は一般的ですが、それらを組み合わせることで、可能性のあるデバイスの範囲を急速に絞り込み、データポイントが増えるたびに多くの候補が除外されていきます。

この排除の原理は「エントロピー」、つまりセットの中から1つの項目を識別するために必要な情報量に基づいています。理論上、約33ビットのエントロピーがあれば、86億の中から1つを特定できます。ブラウザの初期情報だけではそこまでの独自性に達しないかもしれませんが、多くの場合、特定のユーザー集団の中でデバイスを高度に識別できるほどのエントロピーを生成します。

トラッカーはそれだけでは止まりません。「アクティブプローブ」を使用して、さらに具体的な詳細を収集します。例えば、Canvasレンダリングでは、隠れたグラフィックやテキストを描画できます。グラフィックハードウェア、インストールされているフォント、ブラウザがピクセルをレンダリングする方法の微妙な違いがユニークな画像を作成し、それが固有の識別子に変換されます。

もう一つの手法は、Web Audio APIフィンガープリントです。スクリプトが音を生成し、さまざまなオーディオエフェクトを通して処理し、その出力を分析します。特定のハードウェアとソフトウェアがこれらのオーディオ信号を処理する方法のわずかな違いが、ユニークな「オーディオフィンガープリント」を生み出します。これらのフィンガープリントは確率的なものであり、ソフトウェアの更新後にわずかに変化する可能性がありますが、Cookieなしでブラウザを認識する強力な手段となります。

ブラウザフィンガープリントは、「デュアルユース（両義的）」という興味深いジレンマを突きつけます。セキュリティのための強力なツールになり得る一方で、監視のための隠密な手法にもなり得るのです。例えば、不正防止チームは、こうしたユニークなブラウザの「署名」を活用して疑わしいアクティビティを特定します。ボットが何百回ものログインを試みたり、複数の偽アカウントを作成したりする場合、一貫したフィンガープリントが自動システムにとっての危険信号となります。

これらのシグナルは不正行為の決定的な証拠ではありませんが、セキュリティアナリストにとって重要なコンテキストを提供します。これらは、自動化された攻撃、クレデンシャルスタッフィング、その他見過ごされがちな悪意のある行動を特定するのに役立ちます。オンラインバンキングの保護に役立つ基礎技術は、高度なボットの検知にも応用されています。

これに対し、アドテク業界では、ユーザーがCookieをブロックまたは削除しても、フィンガープリントを使用して追跡を試みることがあります。すべてのフィンガープリントがすべてのユーザーに対して一意であるわけではなく、すべてのウェブサイトがこれを使用しているわけではありませんが、その目的は多くの場合、従来の同意メカニズムを回避し、ターゲット広告のためにサイトを横断してユーザーを再識別することにあります。

これは重大なプライバシー上の懸念をもたらします。各国の規制当局は、ブラウザフィンガープリントを、Cookieと同様にユーザーのデバイス上の情報へのアクセスや保存とみなす場合があります。したがって、単にCookieを避けるだけで、サイトが同意要件から免除されるわけではありません。ご自身のブラウザの一意性は、Cover Your Tracks - Electronic Frontier Foundationでテストできます。

ブラウザの独自性が気になりますか？EFFのCover Your TracksまたはAmIUniqueにアクセスして、簡単な診断を実行してみてください。これらのサイトでは、画面サイズやインストールされているフォントなど、ブラウザのどの属性が一意のシグネチャに寄与しているかを確認できます。これらのテストはあくまでスナップショットであり、ブラウザのバージョンや設定が変わればフィンガープリントも変化することに留意してください。

プライバシー拡張機能を積み重ねると、かえって目立ってしまうことがあります。そのため、組み込みの保護機能を備えたブラウザを探すことをお勧めします。Tor BrowserやMullvad Browserは、すべてのユーザーがほぼ同一に見えるように設計されており、個人を特定することを困難にします。Brave、Firefox、Safariなどの他のブラウザも、さまざまなレベルのフィンガープリント防御を提供しています。例えば、Firefoxのアップデートにより、シークレットモードにおける一意のユーザー数がほぼ半減しました。

よりうまく紛れ込むには、ブラウザを最新の状態に保ち、一意の詳細情報をさらけ出す可能性のある不要なアドオンを避けてください。変更を加えた後は、ブラウザのフィンガープリントを再テストしてください。ブラウザの設定やVPNで完全な匿名性が保証されるわけではなく、強力な保護には多くの場合、互換性や利便性とのトレードオフを受け入れる必要があります。

ブラウザフィンガープリントとは何ですか？

ブラウザ、デバイス、設定に関する詳細情報を組み合わせて、Cookieを保存せずにブラウザを識別する技術です。

VPNでブラウザフィンガープリントを防げますか？

いいえ。VPNはIPアドレスを隠すことはできますが、フィンガープリントを構成するブラウザやデバイスの特性のほとんどは変更されません。

シークレットモードでフィンガープリントを防げますか？

いいえ。シークレットモードはセッション間でローカルに保存される情報を制限しますが、ウェブサイトは依然としてブラウザの特性を読み取ることができます。

ブラウザのフィンガープリントをテストするにはどうすればよいですか？

EFFのCover Your TracksまたはAmIUniqueを使用してください。これらのツールは、テストされたブラウザの中で、あなたのブラウザがどれほど特徴的であるかを示します。