Canvas fingerprinting: cosa si nasconde dietro al successore dei cookie

Keaton Mowery e Hovav Shacham, ricercatori nell’università della California, hanno formulato per la prima volta nel 2012 l’idea del tracciamento via fingerprinting nel loro lavoro “Pixel Perfect: Fingerprinting Canvas in HTML5”. Nella pubblicazione sono esposte le loro considerazioni sul fatto che, con l’aiuto degli elementi canvas introdotti nell’HTML5, può essere generata senza problemi un’impronta digitale individuale sulla base della configurazione di sistema dell’utente web. Il programmatore russo Valentin Vasilyev, ispirato dal lavoro di entrambi i ricercatori, ha sviluppato e rilasciato un anno dopo il primo codice canvas fingerprinting sotto licenza open source su GitHub. Il suo codice è servito ad aziende, come AddThis e Ligatus, come base per realizzare il tracking.

Negli elementi canvas citati ci sono campi ben definibili (altezza e larghezza), che possono essere specificati con JavaScript, per creare ad esempio grafici, loghi e pulsanti, inclusivi di testo. Tuttavia, usando il canvas fingerprinting, la presentazione del testo avviene in maniera diversa a seconda:

• del sistema operativo
• del browser
• della scheda grafica
• dei driver della scheda grafica
• dei font del client installati.

Il gestore del sito web ha bisogno per questo scopo solo di un codice canvas fingerprinting specifico, che induce il browser nell’apertura della pagina a visualizzare in background un testo nascosto via JavaScript e, per mezzo di ciò, inoltrare le informazioni ottenute al server web. Grazie al grande numero di fattori presi in considerazione, l’impronta digitale creata in questo modo è unica in oltre l’80% dei casi, per cui può essere riconosciuta in qualunque momento, a patto che l’utente non apporti alcuna modifica a uno dei sistemi di configurazione sopra elencati.

Il canvas fingerprinting ottiene di fatto solo le informazioni già citate dal sistema e dal browser. Ma queste offrono già la possibilità di identificare il visitatore di un sito web come singolo individuo, per determinare infine il suo comportamento di navigazione. Può trattarsi in contemporanea delle attività di uno o più siti web, se lo script è implementato su diverse pagine. Di conseguenza il metodo è molto interessante sia nell’ottimizzazione del sito web che anche nell’ideazione della pubblicità mirata ad uno specifico target. Uno dei vantaggi maggiori del moderno metodo di tracciamento degli utenti è che non raccoglie alcun dato personale. Per gli analisti web questo rende il canvas fingerprinting un’alternativa da prendere seriamente in considerazione rispetto ai cookie, che creano sempre problemi a livello legale e vengono bloccati ed eliminati da molti utenti.

Dal momento che l’impronta digitale non è unica al 100% al contrario di quella reale, i risultati del canvas fingerprinting non sono sempre completamente affidabili. Così, due visitatori di un sito web con, ad esempio, le stesse configurazioni ottengono solo un ID utente, aspetto che altera le ulteriori ricerche. Poiché la probabilità di una corrispondenza di questo tipo cresce a seconda del numero degli utenti tracciati, questa problematica aumenta insieme al traffico del sito web analizzato. Un ulteriore problema del fingerprinting canvas emerge durante l’identificazione degli utenti che utilizzano i dispositivi mobili: gli hardware e i software dei tablet e degli smarphone sono di regola standard, ragion per cui sussistono pochi segni distintivi per creare un’impronta digitale unica.

Al contrario dei cookie, il canvas fingerprinting non può essere eliminato facilmente, perché i dati vengono direttamente trasmessi al server, quindi non avviene una memorizzazione lato client. Allo stesso modo, anche la modalità in incognito di un browser non impedisce agli script canvas di spiare le informazioni del sistema e del browser. Ma gli utenti non sono completamente indifesi contro questo metodo di tracking e possono impedire preventivamente l’esecuzione di script simili, ad esempio mettendo in atto le seguenti misure: 

• Disattivare JavaScript: senza JavaScript gli elementi canvas non possono essere caricati e quindi non si può richiamare nemmeno alcuna informazione tramite il client. Ma, dal momento che molti siti web contengono JavaScript, può capitare che questi non vengano più visualizzati in maniera corretta dopo la disattivazione di JavaScript.
  
  
• Adblock Plus: Adblock Plus è soprattutto un’estensione del browser conosciuta per bloccare la pubblicità e insieme a Filterliste EasyPrivacy, il plug-in blocca anche il tracciamento fingerprinting.
  
  
• CanvasBlocker: gli utenti di Firefox ottengono con il componente aggiuntivo CanvasBlocker diverse opzioni per bloccare il canvas fingerprinting. Ad esempio, è possibile ignorare tutte le richieste canvas o manipolare i dati recenti in modo che il fingerprinting ottenga sempre un altro valore.

Quando nel 2014 apparve la lista dei siti web che facevano uso del canvas fingerprinting, molti gestori di siti web si stupirono di trovarsi tra gli oltre 5000 casi, perché non avevano implementato loro stessi il processo di tracking ma si erano affidati, ad esempio, ad agenzie di performance marketing, come la tedesca Ligatus. Ma, stando a quanto sostenuto dall’agenzia, si trattava solo di una fase di test temporanea, nella quale furono raccolte esclusivamente informazioni anonime senza possibilità di risalire all’utente reale. Tuttavia, la maggior parte dei siti web usa, allo stesso modo senza saperlo, il code tracking dell’azienda statunitense AddThis, che è conosciuta soprattutto attraverso i pulsanti social media sui siti web.