Mimpi Buruk Privasi dari Browser Fingerprinting

• Browser fingerprinting adalah teknik pelacakan serius yang sulit diblokir bahkan dengan cookie atau VPN, karena menggabungkan informasi lingkungan pengguna untuk membuat pengenal unik
• Berbagai elemen seperti sistem operasi, versi browser, bahasa, zona waktu, font, ekstensi, dan hasil rendering canvas digabungkan sehingga meningkatkan kemungkinan identifikasi individu
• Langkah pertahanan sederhana seperti menonaktifkan JavaScript, menyamarkan browser, atau memanipulasi canvas justru dapat meninggalkan petunjuk identifikasi atau merusak fungsi situs web
• Beberapa browser seperti Brave, Mullvad, dan Librewolf memiliki fitur ketahanan terhadap fingerprinting bawaan, tetapi perlindungan penuh tetap tidak mungkin dan menimbulkan ketidaknyamanan seperti penurunan kegunaan serta meningkatnya CAPTCHA
• Dasar regulasi dalam hukum yang ada seperti GDPR masih tidak jelas, sehingga muncul kebutuhan akan respons legislasi baru

---

Latar belakang kemunculan browser fingerprinting

• Di masa lalu, cookie pihak ketiga adalah ancaman privasi utama
  • Cookie awalnya merupakan sarana untuk percakapan berkelanjutan antara browser dan server, tetapi jaringan iklan memanfaatkannya untuk menghubungkan informasi pengguna lintas situs
  • Di Eropa, kemudian diperkenalkan kewajiban pemberitahuan hukum terkait hal ini
• Saat browser meningkatkan kemampuan pemisahan cookie, risiko pelacakan berbasis cookie menurun, tetapi fingerprinting muncul sebagai ancaman baru

Cara kerja browser fingerprinting

• Dapat bekerja tanpa cookie, dan bahkan saat menggunakan VPN pun kemungkinan identifikasi masih tetap ada sampai batas tertentu
• Browser menggabungkan informasi dasar yang diberikan ke server, seperti versi browser, OS, bahasa, dan zona waktu, untuk membuat pengenal numerik unik
• Melalui JavaScript, dimungkinkan untuk mengumpulkan tambahan seperti font, ekstensi, dan informasi perangkat keras
• Canvas fingerprint mengidentifikasi perbedaan halus antar sistem dengan memanfaatkan perbedaan piksel saat browser menggambar teks
  • Tingkat keunikannya sangat tinggi, sampai-sampai hanya satu dari sekitar 1.000 browser yang memiliki canvas fingerprint yang sama
• Hal-hal kecil seperti ukuran jendela, tema, dan resolusi juga dapat digunakan sebagai petunjuk identifikasi tambahan

Keterbatasan upaya pertahanan

• Menonaktifkan JavaScript memang memblokir canvas fingerprint, tetapi justru menjadikan kondisi “JavaScript dimatikan” sebagai ciri langka yang menjadi elemen fingerprint baru
• Bahkan jika browser menyamar (spoofing) sebagai platform lain, server masih dapat memperkirakan lingkungan sebenarnya dari sinyal lain
• Teknik penyamaran canggih seperti manipulasi canvas dapat menyebabkan malfungsi situs web atau meninggalkan jejak tambahan
• Akibatnya, fingerprinting adalah teknik yang sangat sulit diblokir, dan perusahaan pelacakan terus menyempurnakannya

Respons parsial dan batasan realistis

• Situs uji seperti amiunique.org berjalan dalam lingkungan yang lebih sederhana dibanding pelacakan nyata, sehingga kurang mencerminkan kondisi dunia nyata
• Walaupun sebuah fingerprint “unik”, fingerprint itu bisa berubah seiring waktu, sehingga bukan indikator pelacakan yang sempurna
• Beberapa browser seperti Brave, Mullvad, dan Librewolf menyediakan fitur ketahanan terhadap fingerprinting bawaan
  • Librewolf mengaktifkan secara default fitur ketahanan milik Firefox
  • Brave dan Mullvad menanganinya dengan pendekatan yang berbeda
• Namun, karena pelaku fingerprinting juga terus memajukan teknik mereka, perlindungan penuh tetap mustahil

Langkah yang dapat diambil pengguna

• Menghapus cookie jangka panjang dan menggunakan VPN adalah prasyarat dasar
  • VPN mencegah paparan IP, tetapi fakta bahwa VPN digunakan juga bisa menjadi elemen fingerprint
• Pertahankan browser dalam kondisi default, dan minimalkan perubahan pada ekstensi, font, serta tema
• Menggunakan lingkungan yang umum dipakai (Windows 11 + Chrome, dll.) akan menurunkan kemungkinan identifikasi
• Manfaatkan fitur perlindungan bawaan seperti Mullvad, Librewolf, atau Firefox (dengan ketahanan fingerprinting diaktifkan)
• Bahkan setelah melakukan semua langkah, kemungkinan pelacakan hanya turun dari sekitar 99% → 50%

Efek samping ketahanan terhadap fingerprinting

• Jika ketahanan fingerprinting diaktifkan di Firefox atau Librewolf, akan muncul ukuran jendela tetap, tema tak bisa diubah, dan pembatasan UI
• Karena server gagal mengenali browser, frekuensi CAPTCHA meningkat
• Di beberapa situs web dapat muncul malfungsi visual seperti kesalahan warna atau masalah posisi teks

Ketidakpastian hukum dan kebutuhan regulasi

• GDPR memiliki ketentuan tentang cookie, tetapi tidak ada aturan yang jelas mengenai fingerprinting
• ICO (Information Commissioner’s Office) di Inggris memandang fingerprinting secara negatif
• Legalitasnya tidak jelas, dan masih ada ruang untuk mengklaim penggunaan yang wajar untuk tujuan keamanan
• Untuk saat ini, kesimpulannya adalah perlu dibuat undang-undang baru
• Fingerprinting tidak dapat dikenali oleh pengguna, dan data yang dikumpulkan bersifat jangka pendek dan statistik,
  tetapi ditunjuk sebagai sarana utama yang mendukung praktik pelacakan berlebihan oleh industri periklanan

Kesimpulan

• Browser fingerprinting adalah ancaman privasi yang sulit dideteksi secara teknis dan juga berada di area abu-abu secara hukum
• Pada tingkat teknologi saat ini, perlindungan penuh tidak mungkin dicapai, sehingga diperlukan regulasi legislatif dan penguatan respons di tingkat browser
• Selama praktik pelacakan industri periklanan terus berlanjut, lingkungan internet akan tetap dipenuhi risiko pelanggaran privasi

[GN⁺]

Opini Hacker News

• Dulu saya menemukan bahwa setiap kali menekan “jangan terjemahkan bahasa ini” di Chrome, bahasa tersebut otomatis ditambahkan ke header Accept-Language
  Walaupun tidak saya atur secara manual, Chrome terus menyertakan pilihan itu dalam semua request
  Rasanya kombinasi ini bisa menjadi sinyal yang sangat berguna untuk fingerprinting karena tersusun sebagai urutan bahasa unik milik saya
  Ada proposal terkait, tetapi tidak diadopsi → proposal reduce-accept-language

  • Saya jadi berpikir, apakah Chrome menambahkan bahasa itu ke header dengan asumsi bahwa pengguna bisa membaca bahasa tersebut saat memilih “jangan terjemahkan”? Bagian ini menarik
  • Saya ingin memberikan peringatan layanan publik (PSA) agar tidak memakai Chrome
  • Kalau melihat isi proposalnya, idenya adalah browser yang melakukan negosiasi bahasa alih-alih situs, tetapi menurut saya itu tidak realistis. Kalau situsnya multibahasa, cukup tampilkan UI pemilihan bahasa kepada pengguna
  • Saya pernah mengalami masalah bahasa subtitle YouTube ditampilkan secara aneh; saya mengakses dari beberapa perangkat, tetapi fenomena ini paling sering terjadi saat memakai Chrome
  • Sejak Google memblokir uBlock Origin, menurut saya sudah jelas bahwa Chrome dan privasi tidak bisa berjalan berdampingan
    Tulisan terkait: diskusi HN

• Saya rasa kombinasi Firefox + Arkenfox user.js adalah yang paling kuat dari sisi privasi
  Ini memberikan perlindungan setingkat Tor browser seperti penghapusan cookie otomatis, pemalsuan fingerprint canvas, dan penguncian timezone ke UTC
  Di level DNS saya memblokir domain iklan dan pelacakan, lalu memakai uBlock Origin atau uMatrix untuk memblokir konten pihak ketiga secara default

  • Tetapi kalau orang yang memakai konfigurasi seperti ini hanya sedikit, justru konfigurasi itu sendiri menjadi fingerprint
    Seperti Tor, ini baru bermakna kalau banyak orang memakai pengaturan yang sama
    Kalau hanya saya sendiri yang memakai masking seperti ini, saya malah jadi lebih menonjol
  • Saya penasaran apakah nama GPU atau IP internal yang terekspos lewat WebRTC juga bisa disembunyikan
    Selain itu, banyak skrip fingerprint dimuat dari domain pihak pertama, jadi pemblokiran total sulit dilakukan
  • Orion Browser (Kagi) secara default memblokir skrip pengumpulan fingerprint
    Lihat: panduan privasi Orion
  • Teknik anti-fingerprint berbasis JavaScript justru bisa berujung meningkatkan keunikan
  • Saya penasaran apakah pengaturan Arkenfox lebih kuat daripada flag privacy.resistFingerprinting milik Firefox. Fitur-fitur yang dijelaskan tampaknya sudah diaktifkan oleh flag itu

• Dalam fingerprinting, orang sering mencampuradukkan karakteristik identifikasi dan pelacakan
  Mengubah timezone ke UTC tidak berarti pelacakan jadi mustahil
  Masih ada sinyal yang lebih kuat seperti IP dan GeoIP
  Jika satu keluarga memakai IP yang sama tetapi masing-masing memiliki pengaturan browser berbeda, justru mereka menjadi lebih mudah dilacak
  Kalau benar-benar ingin menghindari pelacakan, perlu menggabungkan rotasi VPN dan pengacakan header request
  Jika hanya menginginkan anonimitas, memakai Tor browser adalah yang paling efektif

• Jika ingin memahami lebih jauh cara kerja browser fingerprinting, Anda bisa membaca tulisan saya
  Browser Fingerprinting Explained

  • Karena fingerprint yang konsisten dipertahankan di berbagai situs, muncul masalah privasi yang sama seperti cookie pihak ketiga

• Tidak disebut dalam artikelnya, tetapi ada alat diagnosis fingerprint awal bernama Cover Your Tracks (EFF)

  • Namun ada juga pendapat bahwa EFF tidak seharusnya dipercaya sepenuhnya

• Saya setuju dengan inti artikelnya. Fingerprinting adalah ancaman besar terhadap kebebasan individu
  Di saat yang sama, saya juga berpikir bahwa pembuat konten harus mendapatkan kompensasi yang layak
  Model berbasis iklan memang efisien, tetapi dibayar dengan privasi

  • Sebenarnya rasanya perusahaan iklan menipu kita dengan dalih “kompensasi untuk kreator”
    Kebanyakan blogger tidak menghasilkan banyak uang, dan justru perusahaan iklan yang mendapat keuntungan
    Saya rasa internet lama yang berfokus pada konten gratis dulu lebih sehat
  • Solusinya sederhana. Kembali saja ke iklan kontekstual (contextual ads)
  • Masalahnya bukan iklannya, melainkan pelacakan
    Melacak saya juga tidak membuat iklan jadi lebih efektif
    Yang terjadi justru iklan produk yang tidak saya butuhkan muncul berulang-ulang
    Ini seperti pengalaman menyeramkan ketika toko fisik menampilkan iklan yang dipersonalisasi lewat pengenalan wajah
  • Saya juga berpikir, bagaimana kalau alih-alih “langganan $5 per bulan”, dipakai model bayar per tayang (pay-per-view)
    Kalau biaya iklan tidak dimasukkan ke harga produk, secara keseluruhan mungkin justru jadi lebih murah
  • Jika micropayment anonim memungkinkan, bukan hanya masalah pengawasan yang bisa diselesaikan, tetapi bahkan pertahanan DDoS juga bisa terbantu
    Saya membayangkan struktur di mana orang membayar 1 sen per pageview, dan harganya naik sesuai beban server

• Ini mengingatkan saya pada permainan yang pernah kami lakukan di kelas klasifikasi data
  “Berapa banyak pertanyaan ya/tidak yang dibutuhkan untuk mengidentifikasi semua orang di ruangan ini?”
  Dengan cara yang sama, browser fingerprint juga mempersempit siapa seseorang hanya dari beberapa sinyal
  Misalnya, hanya dengan kombinasi “Linux + Firefox + monitor kiri” saja, jumlahnya sudah menyempit ke puluhan ribu orang

  • Tetapi jika pertanyaannya sangat saling berkorelasi, jumlah informasinya berkurang
    Misalnya “rambut panjang?” dan “perempuan?” memuat informasi yang mirip, jadi hampir tidak menambah bit informasi
    Sebaliknya, pertanyaan seperti “metalhead?” memberi banyak informasi ketika jawaban “ya” muncul karena itu jarang terjadi
  • Ada juga pertanyaan sederhana: “Bukankah pertanyaannya seharusnya hanya ya/tidak?”

• Inti masalahnya adalah kita menjadikan struktur di mana JavaScript memanggil dan menjalankan JavaScript lain sebagai default
  Stallman benar

  • Namun menurut saya, bukan JS itu sendiri yang menjadi masalah, melainkan teknologi seperti WebRTC atau WebGL yang berjalan tanpa izin dan disalahgunakan untuk pengumpulan fingerprint
  • Semakin bertambah usia, saya semakin sadar betapa RMS adalah seorang pejuang kebebasan
  • Hanya saja, banyak skrip fingerprint berjalan dari domain pihak pertama seperti Cloudflare atau Akamai, jadi sekadar memblokir JS tidak menyelesaikan masalah
  • Browser bekerja seperti prajurit bodoh yang menyeret kuda Troya masuk
  • Memblokir JS sepenuhnya bukan alternatif yang realistis karena setengah web akan rusak; fingerprinting juga tetap bisa dilakukan tanpa JS

• Jika ingin melihat informasi apa saja yang diekspos browser, situs Am I Unique? berguna

• Agar fingerprint berguna, dibutuhkan bukan hanya keunikan tetapi juga persistensi
  Kalau font dipasang dan dihapus secara acak setiap kali, bukankah akan sulit menghubungkan saya hari ini dengan saya besok?

  • Tetapi menurut riset, walaupun fingerprint berubah seiring waktu, pengguna yang sama masih bisa diperkirakan dengan akurasi 99,1%
    Lihat: riset EFF PDF, penjelasan Mullvad
  • Dalam praktiknya, yang bisa diperiksa hanya apakah font tertentu terpasang, bukan seluruh daftarnya
    API queryLocalFonts milik Chrome memerlukan popup izin
  • Jika Anda mengirim fingerprint yang terlalu tidak realistis, itu justru menjadi fingerprint lain karena deteksi pemalsuan
    Komik terkait: xkcd 1105
  • Pada akhirnya semuanya kembali bisa dihubungkan lewat cookie, elliptic-curve fingerprint pada SSL handshake, dan klasifikasi persona anonim berbasis GDPR/CCPA
    Saat ini, dalam 5 ms pertama saat halaman dimuat, sudah diputuskan pengguna termasuk persona yang mana
    Namun sebagian besar platform data otomatis menghapus data setelah 90 hari agar tetap patuh pada GDPR