Nem uma VPN consegue esconder você disso (impressão digital do navegador)

Autoria: Better Stack · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: Even a VPN Can’t Hide You From This (Browser Fingerprinting) · Canal: Better Stack · 04:43 · Assistir no YouTube

Tópicos: Ferramentas de desenvolvimento com IA, Privacidade e proteção de dados, RAG, busca e recuperação de informação

Resumo

A impressão digital do navegador identifica usuários por meio de dados coletados por APIs e características de renderização, sem precisar de cookies ou do endereço IP. A combinação de informações como fuso horário, tamanho da tela, fontes e características de áudio e gráficos pode tornar um navegador único. O vídeo mostra como testar essa identificação com o site Cover Your Tracks e explica que extensões de privacidade podem até aumentar a distinção do navegador. Para reduzir o rastreamento, recomenda usar navegadores com proteções integradas, como Tor Browser, Mullvad Browser, Brave, Firefox e Safari.

Pontos-chave

A impressão digital pode identificar um navegador mesmo em uma janela anônima e com uma VPN ativa.
Sites combinam dados como tamanho da tela, fuso horário, idioma e número de núcleos do processador.
Canvas e áudio podem revelar diferenças sutis relacionadas à placa gráfica, às fontes e às configurações do navegador.
Ferramentas de detecção de bots também podem usar técnicas de impressão digital.
O Cover Your Tracks, da EFF, permite testar a singularidade da impressão digital do navegador.
Extensões de privacidade podem fazer um navegador se destacar ainda mais.
Tor Browser e Mullvad Browser buscam fazer com que os usuários compartilhem características semelhantes.
Brave pode fornecer respostas aleatórias, enquanto Firefox e Safari também implementam proteções.

Capítulos

Início	Capítulo	Resumo
00:00	Identificação sem cookies	Uma página identifica o navegador mesmo em janela anônima e com uma VPN, usando uma impressão digital.
01:02	Como a impressão digital é criada	A combinação de dados obtidos por APIs do navegador pode reduzir o grupo de possíveis usuários até identificar um indivíduo.
02:36	Canvas, áudio e testes de rastreamento	Características de renderização de gráficos e áudio ajudam a identificar navegadores, e o Cover Your Tracks permite testar essa exposição.
03:40	Proteções contra impressão digital	O vídeo compara as proteções integradas de Tor Browser, Mullvad Browser, Brave, Firefox e Safari e recomenda evitar extensões adicionais.

Citações

Um site ainda consegue saber que é você. — 00:00

Eles não precisam armazenar nada no seu computador. — 01:02

As extensões de privacidade muitas vezes fazem você se destacar ainda mais. — 03:40

A primeira opção é fazer todo mundo parecer igual. — 04:10

Conceitos e entidades

browser fingerprinting (conceito): Técnica que identifica um navegador combinando características do dispositivo, do navegador e de sua renderização.
FingerprintJS (ferramenta): Biblioteca open source que implementa técnicas para identificar navegadores.
Cover Your Tracks (ferramenta): Site que testa a proteção do navegador contra rastreamento e mostra características que podem torná-lo único.
Electronic Frontier Foundation (EFF) (empresa): Organização de direitos digitais que mantém o site Cover Your Tracks.
Tor Browser (ferramenta): Navegador que busca reduzir a identificação ao padronizar características compartilhadas entre usuários.
Mullvad Browser (ferramenta): Navegador que busca fazer com que seus usuários compartilhem características semelhantes.
Brave (ferramenta): Navegador que, segundo o vídeo, fornece respostas aleatórias como proteção contra impressão digital.
Firefox (ferramenta): Navegador que adicionou proteções contra impressão digital, inclusive em janelas privadas.
Safari (ferramenta): Navegador que impede scripts conhecidos de impressão digital de ler dados como os do canvas.

Tradução completa (pt-BR)

00:00 Você pode desativar os cookies, abrir uma janela anônima e até usar uma VPN, e mesmo assim um site pode saber que é você. Isso é feito por meio de uma técnica chamada identificação por impressão digital, e é provável que seu navegador, assim como o meu, possa ser identificado de forma única. Neste vídeo, vou mostrar exatamente como funciona a identificação por impressão digital, como você pode testar seu próprio navegador e como evitar ser rastreado desde o início. Então, criei esta pequena página que identifica por impressão digital quem quer que a abra, e ela não define um único cookie. Aqui, ela está

00:31 rodando no meu laptop, e esta longa sequência no fim é meu ID. Agora, vou abrir a mesma página na janela anônima do Chrome, que começa sem cookies nem histórico, e obtenho exatamente o mesmo ID. Depois, posso ativar minha VPN, o que altera meu endereço IP, mas o ID continua igual. A janela anônima apaga o que os sites armazenaram, e a VPN oculta de onde estou me conectando, mas a página não verifica nenhuma dessas coisas. A página inteira tem menos de 100 linhas de JavaScript, e vou deixar abaixo um link para o projeto, para você poder testá-lo. Então,

01:02 deixe-me explicar como tudo isso funciona. Normalmente, um site se lembra de você usando um cookie. Ele armazena uma pequena nota no seu navegador, e o navegador devolve essa nota a cada visita, mas você pode apagar essas notas e, de qualquer forma, uma janela privada começa sem nenhuma delas. Então, novos rastreadores queriam uma maneira de reconhecer você sem armazenar nada no seu computador. Isso significa que eles não precisam mostrar coisas como banners de cookies, e acontece que isso é bem fácil. Veja, por meio das APIs do navegador, é possível descobrir uma verdadeira mina de informações sobre ele. Qual é o tamanho da tela

01:33 , qual é o seu fuso horário, que idioma você configurou e até quantos núcleos de processador você tem. Por si só, nenhuma dessas informações diz muita coisa, mas, se você se lembra do jogo das 20 perguntas, em que se fazem 20 perguntas diferentes e é possível restringir as possibilidades até chegar a praticamente qualquer coisa no planeta, funciona do mesmo jeito. Então, vamos começar com todos os computadores do planeta. Primeiro, usamos seu fuso horário. Só isso já elimina 90% das pessoas. Depois, usamos o tamanho da tela: mais 20% a menos. Núcleos do processador: mais 20% a menos. Você entendeu. Dividindo o grupo de meio milhão de pessoas pela metade 20 vezes,

02:05 você chega a uma única pessoa. E 33 divisões pela metade bastam para identificar uma pessoa entre todas as pessoas do planeta. Então, talvez você pense: “Tudo bem, vou simplesmente desativar todas essas APIs.” Isso não só seria irritante e inconveniente, como também existem outros truques para contornar essas medidas. Um script poderia renderizar um canvas oculto no navegador. Dentro dele, poderia renderizar um texto, desenhar algumas formas e alguns emojis. Agora, dependendo da sua placa de vídeo, das configurações do navegador ou das fontes instaladas, há pequenas diferenças na forma como os pixels são renderizados

02:36 e suavizados. Ao ler os dados brutos dos pixels, mais uma vez, você começa a obter um dado único. O som funciona da mesma maneira. Uma página cria um tom, passa-o por um efeito de áudio e lê os números brutos resultantes. E máquinas diferentes devolvem números ligeiramente diferentes. Existem bibliotecas open source, como FingerprintJS, que implementam várias dessas técnicas para identificar de forma única qualquer navegador. Até ferramentas de detecção de bots usam os mesmos truques. Um usuário relatou que, ao usar o AliExpress, seus fones de ouvido Bluetooth simplesmente não reproduziam nenhum áudio, o que era estranho.

03:08 Então, a pessoa investigou a página e encontrou dois trechos de código de áudio rodando em segundo plano e colocando o volume em zero. Eles vinham de scripts usados para detectar bots, e esses scripts também liam o canvas e o nome da placa de vídeo. Bloquear esses dois scripts resolveu o problema dos fones como num passe de mágica. Então, como está o seu navegador? A maneira mais fácil de verificar é usando Cover Your Tracks, um site gratuito da EFF, o grupo de direitos digitais. Você acessa o site, clica em Test Your Browser, e ele executa o mesmo tipo de verificação que a página que mostrei antes. Aqui, estou testando apenas o Chrome normal. O site diz que não estou protegido contra rastreamento

03:40 na web e que meu navegador tem uma impressão digital única. Mais abaixo, ele lista cada resposta coletada e quantos outros navegadores compartilham cada uma delas. Assim, você pode ver exatamente quais respostas fazem seu navegador se destacar. Agora, uma impressão digital não é perfeita. As fontes e as versões dos navegadores mudam, então ela varia com o tempo. Então, como evitar isso? Bem, sua primeira ideia talvez seja adicionar uma extensão de privacidade, mas muitas vezes elas fazem você se destacar ainda mais. Curiosamente, as proteções que funcionam vêm integradas aos próprios navegadores, e há algumas maneiras de fazer isso. A primeira

04:10 é simplesmente fazer com que todos pareçam iguais. É isso que o Tor Browser e o Mullvad Browser fazem. Eles oferecem as mesmas fontes a todos os usuários, usam o mesmo fuso horário e arredondam o tamanho da janela para intervalos de 200 por 100 pixels, para que todos se misturem à mesma multidão. A segunda maneira é dar a cada navegador uma resposta aleatória ligeiramente diferente, e é exatamente isso que o Brave faz. O Firefox e o Safari também começaram a adicionar suas próprias proteções. O Firefox disse que uma atualização, em novembro passado, quase reduziu pela metade o número de usuários com aparência única em janelas privadas, e o Safari agora impede

04:43 que scripts de identificação por impressão digital conhecidos leiam coisas como o canvas. Então, se você quer evitar ser rastreado dessa maneira, deixe de lado as extensões extras e use navegadores que tenham essas proteções integradas. Depois, você pode voltar ao site Cover Your Tracks para ver se seu navegador ainda é único. E, se você gosta de conteúdo de tecnologia como este, inscreva-se para ver mais. E, se quiser assistir a mais agora, confira este próximo vídeo.

Transcrição original

[00:00] You can disable cookies, open incognito, even use a VPN, and a website can still tell it’s you. This is through a technique called fingerprinting, and your browser, just like mine, is likely to be uniquely identifiable. In this video, I’ll show you exactly how fingerprinting works, how you can test your own browser, and how you can avoid being tracked in the first place. So, I built this little page that fingerprints whoever opens it, and it doesn’t set a single cookie. Here, it’s

[00:31] running on my laptop, and this long string at the bottom is my ID. Now, I’ll open the same page in Chrome’s incognito window, which starts with no cookies and no history, and I get exactly the same ID. Then, I can switch on my VPN, so my IP address changes, and the ID stays the same. Incognito clears what the sites have stored, and the VPN hides where I’m connecting from, but the page doesn’t look at any of those things. The whole page is under 100 lines of JavaScript, and I’ll leave a link to the project below, so you can try it yourself. So,

[01:02] let me explain how all of this works. Normally, a website remembers you with a cookie. It stores a small note in your browser, and your browser hands that note back on every visit, but you can delete those notes, and a private window starts with none at all, anyway. So, new trackers wanted a way to recognize you that doesn’t store anything on your computer at all. That means they don’t need to show things like a cookie banners, and it turns out that is pretty easy. You see, through browser APIs, you can find a treasure trove of information about your browser. How big the screen

[01:33] is, what time zone you’re in, what language you have set, even how many processor cores you have. On their own, none of these say much, but if you remember that game, 20 questions, where you ask 20 different questions, and you can pretty much whittle down to any idea on the planet, it works in the same way. So, let’s start with every computer on the planet. First, we take your time zone. That alone eliminates 90% of people. Then, we take your screen size, another 20% gone, got processor cores, another 20% gone. You get the point. Half a million people 20 times and

[02:05] you’re down to one person. And 33 halvings is enough to pick out one person out of everyone on the entire planet. So, you might think, “Fine, I’ll just disable all of those APIs.” Not only would that be annoying and inconvenient, but there are other tricks to even get around that as well. A script could render a hidden canvas in a browser. Inside that canvas, it can render some text, draw some shapes, a couple of emojis. Now, depending on your graphics card, browser settings, or installed fonts, there are tiny differences to how pixels are rendered

[02:36] and smoothed. By reading the raw pixel data back, again you start to get a unique data point. Sound works the same way as well. A page creates a tone, runs it through an audio effect, and reads back the raw numbers. And different machines get slightly different numbers back. There are open-source libraries like FingerprintJS, which implement a number of these techniques to uniquely identify any browser. And even bot detection tools that use the same tricks as well. A user reported that when using AliExpress, their Bluetooth headphones oddly just wouldn’t play audio at all.

[03:08] So, they dug into the page and found two pieces of audio code running in the background setting the volume to zero. They came from scripts for spotting bots, and those scripts also read the canvas and the graphics card name. Blocking the two of those scripts magically fixed the headphones. So, how does your browser look? The easiest way to check is Cover Your Tracks, a free site from the EFF, the digital rights group. You open it, click Test Your Browser, and it runs the same kind of checks that my page from earlier does. Here, I’m just testing normal Chrome. It says I’m not protected against tracking

[03:40] on the web, and that my browser has a unique fingerprint. Further down, it lists every answer it collected and how many other browsers share each one. So, you can see exactly which answers are singling your browser out. Now, a fingerprint isn’t perfect. Fonts and browser versions change, so it does drift over time. So, how can you avoid this? Well, your first thought might be to add a privacy add-on, but those often make you stand out even more. Oddly, the protections that do work are built into the browsers themselves, and there are a few ways that you can do it. The first

[04:10] is just to make everyone look the same. This is what Tor Browser and Mullvad Browser do. They give all users the same fonts, use the same time zone, and they round the window size to steps of 200 by 100 pixels, so everyone just blends into the same crowd. The second is to give every browser a slightly different random answer, and that’s exactly what Brave does. Firefox and Safari have started adding their own protections, too. Firefox said one update just last November cut the number of users who look unique almost in half in private windows, and Safari now stops

[04:43] known fingerprint scripts from reading things like the canvas. So, if you want to avoid being tracked this way, skip the extra add-ons and use the browsers that have those protections built in. Then you can go back to the Cover Your Tracks website to see if your browser is still unique. And if you enjoy tech content like this, then subscribe for more. And if you want to see more right now, then check out this next video.