Browser Fingerprinting：cookieを使わずにウェブサイトがユーザーを追跡する仕組み

ウェブサイトがcookieを使ってユーザーを追跡していることは、多くの人が知っています。しかし、cookieをブロックしても、削除しても、あるいは一度も保存されていなくても機能する、はるかに強力なトラッキング手法が存在することを知る人はほとんどいません。それがbrowser fingerprintingです。この技術はVPNだけでは防ぐことができない方法で、ウェブ上のあなたの行動を追跡し続けます。

Browser Fingerprintingとは何か？

Browser fingerprintingとは、ブラウザとデバイスから一連の属性情報を収集し、固有の識別子、すなわち「フィンガープリント」を生成する手法です。数十もの細かい情報から構成されたデジタルの肖像画のようなものとお考えください。個々の情報だけではあなたを特定できませんが、組み合わせることで、数百万人のユーザーの中で統計的にあなただけに当てはまる情報が浮かび上がります。

cookieとは異なり、fingerprintingはデバイス上に何も保存する必要がありません。この技術を使用しているサイトにアクセスするたびに、気づかないうちに、見えないところで、継続的に実行されています。

どのように機能するのか？

ウェブページを読み込むと、ブラウザはサーバーに対して驚くほど多くの情報を自動的に送信します。ページ上で実行されるスクリプトは、以下の情報を収集・照会することができます：

  • ユーザーエージェント文字列 — ブラウザの種類、バージョン、オペレーティングシステム
  • 画面解像度と色深度
  • インストール済みフォント — ブラウザはシステムで利用可能なフォントを検出できます
  • プラグインと拡張機能
  • タイムゾーンと言語設定
  • ハードウェア情報 — CPUコア数、デバイスメモリ、GPU情報
  • Canvas fingerprinting — ブラウザに対して不可視の画像をレンダリングさせる技術で、ハードウェアとドライバーがグラフィックをレンダリングする際の微妙な差異が固有の出力を生み出します
  • WebGL fingerprinting — canvasと同様ですが、3Dレンダリング機能を使用します
  • Audio context fingerprinting — システムのオーディオ信号処理方法を計測します

これらのデータポイントは、それぞれがあなたの特定に近づく手がかりになります。組み合わせてハッシュ化することで、セッションをまたいで、さらには同じデバイス上の異なるブラウザをまたいでも、90%以上の精度で同一ユーザーを再特定できるフィンガープリントが生成されます。

VPNユーザーにとってなぜ重要なのか？

ここで、多くのVPNユーザーが思わぬ現実に直面します。VPNはIPアドレスを隠し、通信を暗号化しますが、ブラウザのフィンガープリントを変えることは一切できません。トラッカーがすでにあなたのブラウザをフィンガープリントしている場合、どのVPNサーバーに接続しているか、IPアドレスがどの国のものであるか、ホームネットワークかパブリックネットワークかにかかわらず、あなたを識別することができます。

つまり、browser fingerprintingは、VPNが提供する匿名性のかなりの部分を事実上無効化できるということです。広告主、データブローカー、さらには政府機関も、匿名性を確保していると思っているユーザーをfingerprintingで追跡しています。

地理的制限を回避したりリージョンコンテンツにアクセスしようとするユーザーにとっても、fingerprintingは矛盾を検出するシグナルになり得ます。たとえば、IPアドレスはドイツを示しているのに、タイムゾーン、言語設定、システムフォントは実際には韓国にいることを示している、といったケースが考えられます。

実際の使用例

  • 広告ネットワークは、cookieを削除したりトラッキングをオプトアウトした後でも、fingerprintingを使ってターゲット広告を配信します。
  • 不正検出システムは正当な目的でこれを利用しています。銀行やECプラットフォームは、アカウント乗っ取りを検知するためにデバイスをフィンガープリントしています。
  • ストリーミングプラットフォームは、ブラウザの属性情報を既知のVPNサーバーのIPと照合することで、VPNの使用を検出する場合があります。
  • ニュースサイトは、プライベート/シークレットモードでアクセスしている再訪問者を識別し、記事の閲覧制限を適用するためにこれを使用しています。

どのように対策できるか？

完全な防御は困難ですが、露出リスクを軽減することは可能です：

  • フィンガープリント属性の標準化またはランダム化に積極的に取り組んでいるTor BrowserまたはBraveを使用する
  • Canvas Blockerなどのプライバシー重視の拡張機能を有効にする
  • 厳格なプライバシー設定を有効にしたFirefoxを使用する
  • VPNと専用IPアドレスを組み合わせて、IPアドレスとブラウザ属性の矛盾を軽減する
  • coveryourtracks.eff.orgなどのサイトで定期的にフィンガープリントを確認する

Browser fingerprintingは、オンライン上で最も高度でありながら、見落とされがちなプライバシーの脅威の一つです。これを理解することが、より包括的なプライバシー環境を構築するための第一歩です。VPNはその解決策の一部であり、すべてではありません。