- Browser fingerprinting adalah metode pelacakan online yang tidak bisa dicegah hanya dengan menghapus cookie
- Tim peneliti dari Texas menggunakan kerangka pengukuran bernama FPTrace untuk membuktikan kasus penggunaan nyata dalam pelacakan melalui bidding iklan dan perubahan catatan HTTP
- Saat fingerprint (sidik jari) berubah, ditemukan perubahan nilai bidding iklan dan penurunan catatan HTTP
- Bahkan jika pengguna menolak pelacakan sesuai hukum privasi seperti GDPR dan CCPA, pelacakan berbasis fingerprinting tetap terjadi
- Peneliti menilai alat dan kebijakan privasi saat ini belum memadai, dan menekankan perlunya penguatan regulasi serta pertahanan teknis
Websites Are Tracking You Via Browser Fingerprinting
- Menghapus cookie saja tidak bisa sepenuhnya melindungi privasi online
- Menurut riset terbaru yang dipimpin Texas A&M University, situs web melacak pengguna lintas sesi dan lintas situs dengan metode yang disebut browser fingerprinting
- Browser fingerprinting membuat pengenal browser yang unik dengan menggabungkan berbagai informasi seperti resolusi layar, zona waktu, dan model perangkat milik pengguna
- Berbeda dari cookie, metode ini tidak mudah dihapus atau diblokir oleh pengguna
- Sebagian besar pengguna bahkan tidak menyadari bahwa pelacakan seperti ini sedang terjadi
- Bahkan browser yang berfokus pada privasi pun sulit memblokirnya secara sempurna
Investigasi mendalam praktik pelacakan web dengan framework FPTrace
- Ini seperti “tanda tangan digital” yang ditinggalkan tanpa disadari
- Hanya dari kombinasi perangkat dan browser, pengguna dapat dengan mudah dilacak meskipun anonim
- Tim peneliti menjadi yang pertama di dunia yang membuktikan secara empiris bagaimana fingerprinting digunakan dalam sistem iklan nyata
- Mereka mengembangkan framework pengukuran bernama FPTrace untuk menganalisis dampak browser fingerprint terhadap bidding iklan dan komunikasi HTTP
- Dengan mengamati perubahan pada nilai bidding iklan, catatan HTTP, dan event sinkronisasi saat fingerprint berubah, mereka mengungkap praktik pelacakan yang sebenarnya
Hasil penelitian dan implikasinya
- Bahkan ketika pengguna menghapus atau memblokir cookie, pelacakan melalui fingerprinting tetap berlangsung terus-menerus
- Saat fingerprinting digunakan, sebagian situs web memasukkan data sidik jari ke dalam proses bidding iklan di backend, dan dalam proses itu juga terkonfirmasi adanya kemungkinan informasi identitas dikirim ke pihak ketiga
- Walaupun pengguna memilih menolak pelacakan sesuai hukum privasi seperti GDPR di Eropa dan CCPA di AS, pelacakan berbasis fingerprinting tidak dihentikan
- Peneliti menekankan bahwa alat dan kebijakan privasi saat ini tidak cukup, dan menyerukan perlunya perlindungan teknis maupun institusional yang lebih kuat
- Mereka berharap framework FPTrace dapat membantu mengaudit apakah situs web dan penyedia iklan melakukan pelacakan tanpa persetujuan
1 komentar
Komentar Hacker News
Sebagai orang yang bekerja di bidang ini, saya merasa hampir tidak pernah mendengar pembahasan tentang seberapa lama fingerprint benar-benar bertahan. Bahkan fingerprint yang sangat presisi pun pada praktiknya hanya punya masa paruh beberapa hari saja (terutama jika dibangun dari ukuran jendela, versi perangkat lunak, dan semacamnya). Jaringan iklan utama saat ini justru sangat bergantung pada data lokasi. Karena itu, iklan di feed Anda sering terlihat seolah-olah terhubung lintas perangkat, atau mencerminkan minat pasangan maupun teman. Hanya dengan lokasi berbasis IP saja, mereka bisa menyebarkan iklan ke area yang sangat luas. Menarik bahwa FPTrace adalah kerangka pengukuran untuk menganalisis pelacakan pengguna berbasis fingerprint, dan saya jadi penasaran dengan metodologi riset spesifik mereka. Menurut saya, jaringan iklan lebih mungkin membagi kelompok iklan berdasarkan konfigurasi perangkat ketimbang fingerprint itu sendiri. Misalnya, pengguna yang memakai perangkat lunak dan perangkat keras terbaru bisa dikelompokkan sebagai 'segmen dengan niat beli tinggi'. Faktor sederhana seperti zona waktu pun sangat memengaruhi hasil lelang iklan, jadi menurut saya sangat penting melihat variabel apa yang mereka kendalikan dalam riset ini dan bagaimana caranya
Setelah mengecek informasi saya di amiunique.org, ternyata saya memang dinyatakan unik (seperti kata ibu saya dulu!). Namun situs ini tidak memberi tahu elemen mana yang jika diubah akan membuat saya menjadi tidak unik, dan dari 58 properti JavaScript, 16 masuk kategori kemiripan terendah. Di antaranya, 2 bergantung langsung pada nomor versi, dan 6 terkait ukuran/resolusi layar. Kesan saya, tetap ada cukup banyak informasi yang tidak akan cepat berubah. Nilai pastinya memang bisa berubah seiring waktu, tetapi ungkapan 'masa paruh beberapa hari' terasa meremehkan efektivitas nyata teknik ini
Saat jendela Windows dimaksimalkan, ukurannya hampir tidak berubah kecuali ada perubahan lingkungan, pergantian monitor, atau pembaruan desktop environment. Perangkat keras GPU juga bukan sesuatu yang sering berubah, dan karakteristik uniknya dapat dengan mudah dipakai untuk fingerprint lewat WebGL atau WebGPU. Font yang terpasang juga jarang berubah. Fingerprint pada stack TCP pun cukup stabil. Hanya dengan beberapa faktor seperti ini saja, meskipun satu karakteristik individual berubah, fingerprint baru tetap bisa dengan mudah dihubungkan ke klaster fingerprint sebelumnya. Yang lebih serius, jika pengenal sisi klien seperti cookie tidak ikut dihapus pada saat yang sama, maka dua fingerprint yang benar-benar berbeda pun bisa dihubungkan dengan jelas
Waktu penanganan interrupt perangkat keras dan latensinya juga bisa memiliki nilai unik tergantung detail seperti kombinasi aplikasi yang terpasang atau versi driver GPU, jadi menurut saya distribusinya benar-benar berubah hanya jika ada pembaruan, dan jarang semua distribusi berubah secara bersamaan
Siteimprove Analytics secara terbuka mengklaim bahwa teknologi pelacakan cookieless mereka lebih akurat daripada pelacakan berbasis cookie tradisional. Mereka menekankan bahwa Visitor Hash dibuat dengan melakukan hash atas IP dan header HTTP yang tidak memuat informasi pribadi (jenis browser, versi, bahasa, user agent, dan sebagainya), sehingga mengatasi masalah 'umur pendek' pada cookie tradisional dan menguntungkan untuk meningkatkan akurasi statistik pengunjung unik. Namun, mereka hanya menggunakan atribut server-side dan tidak mengumpulkan atribut sisi klien. Di lingkungan seperti intranet, ketika banyak pengguna datang dari IP/perangkat yang sama, beberapa pengguna bisa memiliki Visitor Hash yang sama sehingga kunjungan mereka tergabung menjadi satu; karena itu mereka menyarankan domain jenis ini dikecualikan dari pelacakan cookieless
Fingerprint browser bisa dibuat sangat tangguh tergantung data point yang dipilih (misalnya plugin terpasang, bahasa konten, font, dan sebagainya). Data point juga bisa disesuaikan secara dinamis menurut situasi, atau dipakai secara berbeda untuk tiap pengguna. Selain itu, fingerprint hanyalah sebagian dari keseluruhan data. Jika digabungkan dengan informasi lain seperti data lokasi, banyak batasan atau upaya pengelakan bisa dilumpuhkan. Misalnya, jika fingerprint baru yang 80% mirip dengan fingerprint lama muncul dari IP kantor yang sama, dan fingerprint lama menghilang, maka keduanya mudah dihubungkan. Perusahaan iklan sendiri cenderung memilih 'strategi shotgun' (penargetan luas) demi efisiensi biaya dan pembelaan legalitas, tetapi organisasi dengan tujuan selain iklan bisa melacak dengan jauh lebih presisi karena punya lebih banyak data point
amiunique.org menekankan bahwa browser membocorkan berbagai informasi seperti resolusi layar, zona waktu, model perangkat, dan sebagainya, yang dapat digabungkan menjadi sebuah 'fingerprint'. Tidak seperti cookie, informasi fingerprint seperti ini sulit dihapus atau diblokir oleh pengguna, sehingga jauh lebih sulit dideteksi maupun dicegah. Ironisnya, semakin seseorang terobsesi memperkuat keamanan dan privasi perangkat, OS, serta browser, justru fingerprint mereka bisa menjadi semakin unik. Ekosistem FOSS sudah lama ada, tetapi tetap disayangkan belum ada browser open-source yang benar-benar mapan menjadi arus utama. Monopoli terlalu cepat menghasilkan uang besar di awal, dan secara pribadi saya pernah memikirkan membuat web scraper untuk akses offline, tetapi rasanya kurang praktis
Pernyataan "belum pernah ada browser open-source yang benar-benar layak" tidak tepat. Firefox dulu pernah sangat populer dan bahkan sempat menguasai pasar sepenuhnya. Belakangan Google menggerogotinya lewat praktik tidak adil, tetapi itu cerita berikutnya
Mengejutkan bahwa Firefox selama bertahun-tahun nyaris tidak mengambil langkah nyata apa pun untuk mengurangi efektivitas fingerprinting. Bahkan pada 2025, sulit dipahami bahwa browser masih mengirimkan string User Agent yang terlalu detail secara default (Mozilla/5.0 (X11; Linux x86_64; rv:139.0) … dan seterusnya). Situs web sama sekali tidak perlu tahu bahwa saya memakai X11 atau Linux x86_64. Secara default, Referer juga masih aktif. JavaScript juga masih bisa mengetahui daftar font yang terpasang di sistem saya. Diperlukan kontrol izin yang jauh lebih terperinci serta default yang masuk akal. Memang ada plugin terkait, tetapi pemasangan dan pengelolaannya merepotkan
Ada juga browser seperti Brave yang mencoba menghindari pelacakan dengan mengacak fingerprint, tetapi saya pribadi ragu soal efektivitas nyatanya. Cara lain adalah berbaur ke lingkungan yang dipakai banyak orang seperti Tor, dan memilih strategi 'bersembunyi di keramaian'
Saya dinyatakan sebagai pengguna unik di dua jendela private browser yang berbeda. Jadi saya jadi bertanya-tanya apakah ini berarti fingerprint tidak bisa dihubungkan antar tab private
Saya penasaran mengapa Firefox dikeluarkan dari kriteria "browser open-source yang benar-benar layak"
Saya berharap ada pengujian yang dirancang lebih baik untuk mengukur 'seberapa lama pelacakan fingerprint benar-benar menandai pengguna yang sama', dibanding coveryourtracks.eff.org atau amiunique.org. Kedua situs itu hanya menguji keunikan, bukan persistensi. Akibatnya, generator angka acak yang sepenuhnya acak pun bisa dianggap sebagai fingerprint. Teknologi perlindungan fingerprint nyata sering kali memang memasukkan output acak, sehingga browser yang sebenarnya lolos seperti Tor, Safari, atau LibreWolf justru dinyatakan gagal oleh situs-situs semacam itu
CreepJS adalah situs yang memberi nama (signature) pada fingerprint Anda dan memungkinkan Anda memeriksa saat kembali apakah fingerprint itu masih sama
Saya dengar fingerprint.com bisa menyediakan pengujian semacam 'hasil seiring berjalannya waktu' ini. Dalam bidang fingerprinting as a Service, mereka termasuk yang terbaik, hanya Meta dan Google yang berada di depan mereka
Bahwa "pelacakan fingerprint benar-benar sedang terjadi" memang sudah lama diduga banyak orang, tetapi tanpa bukti konkret sulit membuktikan apakah 'pelacakan lintas perangkat' benar-benar dilakukan. Riset kali ini mengusulkan kerangka studi dan desain eksperimen berskala besar untuk memverifikasi secara empiris apakah pelacakan fingerprint benar-benar terjadi di ranah iklan. Sebagian besar makalah sebelumnya hanya mengukur apakah skrip terkait fingerprint dijalankan, tetapi dari itu saja kita tidak bisa tahu apakah tujuannya untuk pelacakan, atau justru defensif seperti anti-bot, pencegahan fraud, atau autentikasi. Menariknya, studi ini memanipulasi fingerprint browser secara sengaja sambil melacak perubahan iklan, sehingga berhasil menyingkap konteks pelacakan yang sebenarnya (tautan makalah). Saya tidak bisa mengakses naskah lengkapnya, jadi belum bisa memeriksa detail yang lebih spesifik
Cookie disimpan terpisah per domain dan berada dalam batas keamanan tertentu, tetapi fingerprint dapat dihitung tanpa bergantung pada domain. Sangat masuk akal membayangkan server iklan dan semacamnya melacak atau mengenali pengguna hanya dari fingerprint, dan masalahnya adalah bahwa hanya dengan mengumpulkan informasi fingerprint saja mereka sudah bisa menghimpun informasi tentang korban
Menanggapi pertanyaan, "mengapa browser secara default mengekspos begitu banyak informasi ke situs web?"
Browser pada dasarnya terdiri dari sandbox berisi beragam fungsi (API). Masing-masing fitur itu dibuat demi kenyamanan pengguna, dan walaupun secara terpisah tampak tidak terlalu penting, jika digabungkan semuanya membentuk fingerprint yang unik. Kalau benar-benar menginginkan lingkungan tanpa fingerprint, kesimpulannya adalah seluruh JavaScript di web harus dihilangkan
Pengembang menginginkan API seperti ini untuk menyediakan fitur, dan dampaknya terhadap privasi baru mendapat perhatian setelah situasinya sudah menjadi "tidak bisa dibalik lagi"
Sebagian besar informasi itu memang berguna atau diperlukan. Memang ada beberapa yang bisa dihilangkan, tetapi sisanya berasal dari 'cara membandingkan dan menganalisis hasil perilaku' (misalnya, jika kotak teks dirender dengan beberapa
font-family, ukuran aktualnya bisa berbeda tergantung font perangkat — dan itu sendiri bisa dipakai sebagai fingerprint)Saat browser mengurangi atau menghapus sebagian informasi (misalnya versi OS pada user agent), sering muncul error situs yang tidak terduga. Misalnya, ketika Apple hanya mengubah versi pada user agent dari 10 menjadi 11, banyak situs langsung rusak. Kolom Referer juga belakangan ini sudah sangat dibatasi di browser modern, misalnya hanya mengirim path tertentu atau menghilangkan seluruh nilainya
Saya merasa para petinggi Mozilla selalu kurang memiliki kemauan nyata soal privasi/keamanan/kebebasan. Kadang mereka hanya mendekatinya dari 'sudut pandang pemasaran', membuat perubahan yang tidak efektif, atau hanya memilih pendekatan yang tidak benar-benar berbenturan dengan kepentingan perusahaan teknologi besar. Disayangkan juga tidak ada sosok yang benar-benar melawan keras bahkan di W3C
Aplikasi melacak pengguna jauh lebih parah daripada situs web. Salah satu alasan situs terus-menerus mendorong pemasangan aplikasi adalah karena banyak perlindungan yang berlaku di browser menjadi tidak berguna di lingkungan aplikasi. Aplikasi meminta login, lalu setelah itu bebas membagikan semua data ke pihak ketiga
Aplikasi saya tidak melacak dengan cara seperti itu. Bahkan saya tidak mengumpulkan email, jadi aplikasi adalah satu-satunya cara untuk memberi tahu pengguna soal notifikasi baru. Dari sisi persistensi, aplikasi memang lebih unggul, sedangkan situs web relatif kurang efektif
Di iOS ada fitur 'Ask App Not to Track'. Namun, itu hanya memblokir jenis pelacakan tertentu dan tidak bisa menghentikan semua pelacakan
Mengenai fakta bahwa 'pelacakan fingerprint memang sudah digunakan secara luas', ada yang menanggapi bahwa ini hanya mengejutkan bagi "orang yang tidak membaca dokumen di luar ranah akademik" atau bahwa "vendor pelacakan yang bertanggung jawab sudah secara eksplisit mengungkapkan fingerprinting selama bertahun-tahun"
Intinya bukan soal kebodohan dunia akademik atau industri, melainkan bahwa riset seperti ini berguna karena memberikan bukti kuantitatif tentang 'seberapa banyak dan seberapa efektif pelacakan fingerprint benar-benar terjadi saat ini'. Walaupun vendor mungkin sudah mengungkapkannya dalam kebijakan mereka, wawasan tentang efektivitas atau skalanya adalah hal yang terpisah. Jika studi ini memverifikasi tingkat keberhasilan pelacakan bahkan dalam lingkungan yang 'jinak' seperti iklan, itu menjadi dasar untuk memahami seberapa efektif pelacakan bisa dilakukan oleh pihak lain juga
Dunia akademik sebenarnya sudah menyadari penggunaan pelacakan fingerprint sejak bertahun-tahun lalu. Dulu bahkan teknik untuk mengekstrak langsung informasi font yang dipasang pengguna lewat Flash juga banyak dipakai (makalah terkait). Jadi pernyataan resmi semacam itu dikoreksi karena tidak sesuai dengan kenyataan
Ada juga framework open-source pelacakan fingerprint yang sudah lama ada seperti FingerprintJS. Pada masa awal, ini sering dipakai untuk melacak spam atau pengunjung yang berniat jahat
Menjaga privasi online memang penting, tetapi ada juga argumen bahwa langkah-langkah untuk memblokir fingerprinting pada akhirnya gagal menyelesaikan masalah dunia nyata dan malah membuat web makin tidak nyaman digunakan. Analogi yang dipakai adalah, meski ada regulasi, pihak jahat tetap akan memaksakan fingerprinting, sementara situs biasa justru terkena pembatasan fungsi sehingga hasilnya kontraproduktif
Dalam riset akademik, yang dianggap penting bukan kebijakan atau pengungkapan industri, melainkan memperoleh 'bukti empiris' yang konkret, terukur, dan tidak mudah dibantah
Setiap kali saya membuka halaman fingerprint EFF, saya selalu dinyatakan punya fingerprint yang unik. Saat saya kembali satu jam kemudian, hasilnya tetap sama. Akan menyenangkan jika situs ini memberikan nilai hash fingerprint sehingga saya bisa membandingkannya lagi beberapa bulan kemudian. Kalau fingerprint saya memang berubah setiap saat, pelacakan fingerprint seharusnya juga akan jauh lebih sulit, jadi di satu sisi itu justru melegakan
Saya agak sinis melihat begitu banyak usaha dan teknologi dicurahkan untuk penargetan iklan. Saya pada dasarnya memblokir semua iklan, jadi semua upaya fingerprinting itu terasa sia-sia