ハクソク

世界を動かす技術を、日本語で。

ウェブサイトはブラウザフィンガープリンティングを通じてあなたを追跡しています

341日前原文(engineering.tamu.edu)

概要

  • Cookie削除だけではプライバシー保護が不十分 という新研究
  • Texas A&M University 主導でブラウザフィンガープリント追跡の実態を解明
  • 広告システムとフィンガープリント の関連性を初めて立証
  • 法的オプトアウト後も 追跡が続く実態 を発見
  • 規制強化と新ツール導入 の必要性を提言

Cookie削除では防げないブラウザフィンガープリント追跡の現実

  • Cookie削除やブロック だけではオンラインプライバシー保護が不十分
  • Texas A&M University の研究チームがブラウザフィンガープリント利用の実態を初めて証明
  • ブラウザは 画面解像度・タイムゾーン・デバイスモデル など多様な情報を自動送信
  • これらの情報が組み合わさることで 一意的なフィンガープリント が生成される仕組み
  • Cookie と異なり、フィンガープリントは 削除やブロックが困難 な特徴
  • ユーザーの多くは フィンガープリント追跡の存在すら認識していない 現状
  • プライバシー重視ブラウザ でも完全な防御は難しい
  • 匿名性があるようで実はデバイス情報で特定 される危険性

広告システムとフィンガープリントの関係性

  • 研究チームは FPTrace という独自フレームワークを開発
  • FPTraceは フィンガープリント変更時の広告システムの反応 を解析
  • フィンガープリントが追跡に使われている場合、 広告入札額やHTTP記録の変化 が観測される
  • 単なるコード検出ではなく、 実際の追跡・ターゲティング有無を検証 できる点が特徴
  • 広告入札額の変動、HTTP記録・同期イベントの減少 がフィンガープリント変更時に確認
  • 一部サイトでは バックエンドの入札プロセスにフィンガープリント情報が活用 されている実態
  • リアルタイムで第三者に識別情報が渡る ケースも存在

法的オプトアウト後も続く追跡の懸念

  • GDPR（EU一般データ保護規則）やCCPA（カリフォルニア消費者プライバシー法） 下でも
    • 明示的に追跡拒否したユーザーが フィンガープリントで密かに追跡 される実態
  • 現行の プライバシーツールや法規制の限界 を指摘
  • 研究チームは ブラウザ側の防御強化とフィンガープリント規制 の必要性を提言
  • FPTrace による監査が、規制当局や第三者監査の新たな手段となる可能性

研究の意義と今後の展望

  • 本研究は Johns Hopkins University との共同プロジェクト
  • 成果は ACM Web Conference (WWW) 2025 で発表
  • Texas A&M Engineering Experiment Station (TEES) による研究資金支援
  • 今後は 規制強化・監査ツール普及・ユーザー教育 が課題

Hackerたちの意見

これは問題だよね。クッキーは特定のドメインに結びついていて、セキュリティの境界で隔離されてるけど、フィンガープリンティングはどのドメインでも計算できちゃうから。ユーザーを追跡して広告を出すだけのウェブサイトがフィンガープリンティングを使って、被害者の情報を集めるのが簡単に想像できるよね。

この業界で働いてるけど、フィンガープリンティングがどれくらい持続するかについて話す人はあまりいないんだよね。実際、すごく正確なフィンガープリンティングでも半減期は数日しかない（特にウィンドウサイズやソフトウェアのバージョンみたいな特性に基づいてる場合）。今の大手広告ネットワークは、むしろ地理データに大きく依存してるんだ。だから、デバイス間で交差するような広告や、配偶者や友達の興味に関連する広告がフィードにたくさん表示されるのはそのせいだよ。彼らはあなたのIPの地理情報を見て、文字通りそのゾーンを埋め尽くしてる。> 彼らはFPTraceという測定フレームワークを開発したんだけど、これは広告システムがブラウザのフィンガープリンティングの変化にどう反応するかを分析して、フィンガープリンティングに基づくユーザー追跡を評価するものなんだ。彼らの方法論についてもう少し知りたいな。広告ネットワークはフィンガープリンティングよりもデバイス設定に基づいて広告をセグメント化してる可能性が高いと思う。例えば、新しいハードウェアで新しいソフトウェアバージョンを使ってる人は、よりホットなバイヤーカテゴリーに分類されるかもしれない。また、時間帯のような単純なことも広告入札に大きな影響を与えるから、彼らがどうコントロールしてるかを知ることが重要だよね。

└

iCloudプライベートリレーや他のVPN的なものが、IP地理ベースの追跡に影響を与えないかな？ターゲティングが広すぎて役に立たなくなる気がするんだけど。

└

実際、すごく正確なフィンガープリンティングでも半減期は数日しかない（特にウィンドウサイズやソフトウェアのバージョンに基づいている場合）。ブラウザのバージョンが上がることでしか変わらないフィンガープリンティングは死んでるわけじゃなくて、むしろ強くなってるんだ。

└

この業界で働いてるけど、フィンガープリンティングがどれくらい持続するかについて話す人はあまりいないんだよね。実際、すごく正確なフィンガープリンティングでも半減期は数日しかない。自分のフィンガープリンティングを見たら、ユニークだって言われたよ（母がいつもそう言ってた ;-) ）。残念ながら、https://www.amiunique.org/fingerprintを使って、フィンガープリンティングのどの要素が変わったら自分がかなり非ユニークになるかを特定するのは不可能なんだ。でも、リストを見ると、58個のJavaScript属性のうち16個が赤（類似度比率の最も低いカテゴリー）で、そのうちの2つは明らかにバージョン番号に依存していて、他の6つは画面サイズや解像度に関係してる。これって、あまり変わらない情報がたくさん残ってる気がする。正確な値は時間とともに変わるかもしれないけど、「半減期は数日しかない」って言うのはこの技術の効果を過小評価してる気がするな。

└

現実的には、本当に正確な指紋でも半減期は数日しかないんだよね（特にウィンドウサイズやソフトウェアのバージョンみたいな特徴に基づいてる場合）。ハードウェアの割り込みや、その処理遅延を考慮すると、インストールされているアプリの組み合わせや正確なGPUドライバーのバージョンによって変わるんだよね。たまにアップデートがあれば、関連するタイミングが変わるかもしれないけど、全てのタイミング分布が変わることは少ないと思う（たぶんGPUドライバーが更新されてなかったり、他のアプリが更新されてなかったりするから）。

└

今の大手広告ネットワークは、地理データにかなり依存してるよね。ISPsが通常、少なくとも1レベルのNATを持っている今日の時代で、これってどう機能するの？IPv6のプレフィックス委譲がまだ遠いから、これがかなり不正確であり続けるはずだよね？

└

現実的には、本当に正確な指紋でも半減期は数日しかないんだよね（特にウィンドウサイズやソフトウェアのバージョンに基づいている場合）。最大化されたウィンドウのサイズは、デスクトップ環境が何らかの形で更新されるか、モニター（ハードウェア）自体が交換されない限り、変わることはないだろうね。GPUハードウェアも頻繁には変わらないし、さまざまな特異性はWebGLやWebGPUを通じて指紋化できる。インストールされたフォントもそんなに頻繁には変わらないと思う。TCPスタックの指紋化はかなり安定していると予想してる。これは思いつく例のほんの一部だけど、1つの特徴が同時に変わらない限り、クラスターをリンクさせることができる。さらに悪いことに、クライアントサイドの識別子（例：クッキー）が同時に消去されない場合、全く異なる2つの指紋を自信を持ってリンクさせることができるんだ。

└

fingerprint.comは、120日間で90%以上の精度でユーザーをフィンガープリンティングできると主張してるけど、数日で半減するってのはかなり楽観的だよね。

└

どんな広告が表示されてるのか全然わからない。広告盲目になってるから、脳がそれを認識しようとしないんだよね。テキストの上に浮かんでても、全く見えない。

https://www.amiunique.org/ > あなたのブラウザは、画面解像度やタイムゾーン、デバイスモデルなど、驚くほど多くの情報を共有している。これらの詳細を組み合わせることで、しばしばあなたのブラウザに特有の「フィンガープリンティング」が作られる。クッキーとは違って、ユーザーが削除したりブロックしたりできるものではなく、フィンガープリンティングは検出や防止がずっと難しい。皮肉なことに、あなたのデバイス、OS、ブラウザがセキュリティやプライバシーのためにより厳重に調整されているほど、フィンガープリンティングのリスクは高くなる。もっと考えを巡らせると、FOSSツールの広大なスペースと歴史の中で、適切なオープンソースブラウザが流行しなかったのは奇妙で残念だね。最初から独占する方が儲かりすぎて、無料にするのを許さなかったのかな。でも、プライバシーを重視する人たちにはほとんど選択肢がないよね。オフラインでウェブにアクセスするために自分のスクレイパーを使うアイデアも考えたけど、面倒くさそうだし、やる価値があるかは微妙だな。

└

FOSSツールの広大なスペースと歴史の中で、適切なオープンソースブラウザが流行しなかったのは奇妙で残念だね。Firefoxを「適切なオープンソースブラウザ」として除外する理由は何？

└

2つの別々のプライベートブラウザウィンドウで、ユニークな存在として識別されたんだけど、これってプライベートブラウザタブ間での指紋は機能しないってこと？

└

皮肉なことに、デバイス、OS、ブラウザがセキュリティとプライバシーのためにより細かく調整され、強化されるほど、指紋のリスクは悪化するんだ。1. 何か、指紋をランダム化しようとするBraveみたいなものを使うことができる（でも、その効果は疑わしいけど）。2. 「群衆に溶け込む」ためにTorを使うこともできる。

└

「適切なオープンソースブラウザは全然流行らなかった」って、それは全然正確じゃないよ。Firefoxは一時期すごく人気があって、他のブラウザを完全に食い尽くしてたんだから。（その後、Googleが反競争的な手法で潰したけど、それは後の話ね。）

みんなこれが起こってるのは知ってたと思うけど、デバイス間で追跡されてるって「証明」するのは難しいよね。これは実際に起こっていることを証明するためのフレームワークと大規模な研究のようで、フィンガープリンティングが単に他の目的（例えば、悪用防止）に使われているわけではないことを示すためのものみたい。> 以前の研究は、フィンガープリンティング関連のスクリプトがウェブサイトで実行されているかどうかを測定するだけだったけど、それ自体がオンライン追跡のプライバシー侵害目的でフィンガープリンティングが使われていることを意味するわけではない。フィンガープリンティングはボットや詐欺の検出、ユーザー認証の防御目的で展開されることもあるからね。[...] ブラウザのフィンガープリンティング調整からの広告の変化を分析して、フィンガープリンティングに基づくユーザー追跡を評価するためのフレームワーク - https://dl.acm.org/doi/10.1145/3696410.3714548 残念ながら、私自身はその論文にアクセスできないから、どんな詳細が共有されているのかはわからないんだ。

coveryourtracks.eff.orgやamiunique.orgよりも、もっと良い指紋テストを見てみたいな。どちらもユニークさだけをテストしていて、持続性をテストしていないっていう欠陥があるから、ランダムな数生成器も指紋としてフラグが立っちゃうんだよね。本当の指紋保護は、ランダムな結果を伴うことが多いし、これがTorやSafari、LibreWolfのようなブラウザがテストを通過しても、両方のウェブサイトが不合格になる原因になってる。

└

fingerprint.comには、時間経過に伴う結果テストがあるかも？彼らは指紋認識のサービスではトップだと思う。MetaとGoogleが多分、唯一の競争相手かな。

https://amiunique.org に何年も新しいデバイスや新しいディストリビューションをインストールするたびに訪れてる人にとって、フィンガープリンティングが存在するのは新しいことじゃないよね。（それに、プロジェクトがあまり活発じゃないこともわかるし、同じ求人が何年も出てる。）だから、興味があったのは研究者たちがどのように、どんな影響を測定したのかってこと。この記事はその点についてほとんど触れてないみたいで、残念だな。

Torブラウザは、まさにその理由で何年も前から決まったウィンドウサイズを使ってるから、これは「新しい研究」って言えるのかな？

「フィンガープリンティングはプライバシーコミュニティで常に懸念されてきたが、今までユーザーを追跡するために実際に使われているという確かな証拠はなかった」と、サイバーセキュリティ研究者でテキサスA&M大学のコンピュータサイエンスとエンジニアリングの教授、グローバルサイバー研究所の副所長であるニテッシュ・サクセナ博士は述べた。「私たちの研究はそのギャップを埋める手助けをする。」多分、学外の文書が存在しないバブルの中に住んでる人にはそうかもね。追跡業者自身も、プライバシーポリシーで10年以上前からユーザーのブラウザをフィンガープリンティングしてるって主張してるよ。

インコグニートモードで十分だと思ってたけど、ブラウザのフィンガープリンティングがクッキーよりもひどいって知ってから考えが変わった。すごく細かい情報を追跡するから、デバイスを切り替えても認識されることがあるんだよね。最近はオンラインにいると、見られてる気がする。

これが理由でRedditが私をサスペンドし続けてるのかな？