Halaman web yang menampilkan semua informasi yang diberitahukan browser

 (sinceyouarrived.world)
24 poin oleh GN⁺ 2026-05-09 | 2 komentar | Bagikan ke WhatsApp
  • Halaman ini menampilkan lokasi, perangkat, browser, bahasa, GPU, baterai, font, preferensi pengguna, dan lainnya hanya dari data yang dikirim browser pada milidetik pertama setelah kunjungan, serta hanya memakai fitur standar yang terdokumentasi secara publik tanpa eksploit maupun peretasan
  • Alamat IP dari semua header permintaan dikirim ke ip-api.com · Free tier · CC-BY-SA untuk diubah menjadi nama kota dan penyedia internet; pencarian ini tidak disimpan, dan meski hanya sebagian oktet yang ditampilkan di layar, dijelaskan bahwa sisanya juga bisa diketahui
  • Sidik jari font mendeteksi font yang terpasang lewat lebar teks yang dirender, Electronic Frontier Foundation · Cover Your Tracks menyediakan alat untuk memeriksa keunikan browser, dan riset Princeton tahun 2014 menemukan sidik jari canvas di 5% dari 100.000 situs web teratas
  • Meski tidak dijalankan di halaman ini, ada Clipboard API yang dengan satu gestur pengguna dapat meminta membaca isi salinan terakhir, “The Leaking Battery” yang menunjukkan kemungkinan pelacakan hingga 30 menit lewat level dan waktu habis baterai, serta teknik mendeteksi situs login lewat favicon
  • Dinyatakan bahwa yang dikirim ke server hanya dua event anonim, arrive dan complete, serta tidak menyimpan apa pun di cookies, localStorage, sessionStorage, IndexedDB, maupun cache service worker; saat tab ditutup, pengunjung akan dilupakan

Informasi yang diberikan browser segera setelah tiba

  • Semua pengamatan oleh taken. berasal dari data browser pengunjung pada milidetik pertama setelah kunjungan, dan hanya memakai fitur standar yang terdokumentasi secara publik tanpa eksploit, kerentanan, atau peretasan

  • Lokasi

    • Alamat IP yang ada di semua header permintaan dikirim ke ip-api.com · Free tier · CC-BY-SA untuk diubah menjadi nama kota dan penyedia internet
    • Pencarian ini bersifat sementara dan tidak disimpan oleh kedua pihak; di layar hanya oktet pertama dan terakhir IP yang ditampilkan, tetapi dijelaskan bahwa sisanya juga bisa diketahui
    • Dalam GDPR, alamat IP dapat dianggap sebagai data pribadi bila digunakan untuk pelacakan, dan taken. tidak melakukan pelacakan, penyimpanan, maupun pencatatan log

  • API browser

    • Nilai observasi perangkat seperti layar, browser, bahasa, GPU, jumlah inti, baterai, font, dan preferensi pengguna diambil melalui API JavaScript standar yang terdokumentasi publik di MDN Web Docs · Mozilla · CC-BY-SA 2.5
    • Ini adalah perilaku yang dimungkinkan sesuai desain browser, yang mengarah pada kesimpulan bahwa “desainnya yang bermasalah”

  • Sidik jari font dan canvas

    • Teknik sidik jari font yang mendeteksi font terpasang lewat lebar teks yang dirender telah didokumentasikan sejak 2010, dan Electronic Frontier Foundation · Cover Your Tracks menyediakan alat untuk memeriksa seberapa unik browser
    • Sebagian besar browser cukup unik untuk dilacak di web terbuka bahkan tanpa cookie, dan kombinasi font adalah salah satu sinyal terkuat
    • Riset tahun 2014 dari Princeton University · Web Transparency & Accountability Project adalah dokumentasi pertama sidik jari canvas di web nyata, dan menemukannya di 5% dari 100.000 situs web teratas
    • Sidik jari canvas bekerja dengan membuat browser pengunjung menggambar gambar tersembunyi lalu membaca kembali piksel hasil render sebagai pengenal; taken. tidak menjalankan teknik itu, tetapi browser mendukungnya

  • Clipboard dan baterai

    • Menurut MDN · Clipboard API specification, dengan satu gestur pengguna seperti klik atau ketuk, halaman dapat meminta untuk membaca isi terakhir yang disalin
    • Isi salinan terakhir bisa berupa kata sandi, alamat, atau pesan draf; taken. tidak memintanya, tetapi fitur itu memang ada di browser modern
    • Makalah tahun 2015 “The Leaking Battery” oleh Olejnik, Englehardt, dan Narayanan menunjukkan bahwa kombinasi level baterai dan waktu habis baterai saja dapat melacak pengunjung di beberapa situs web hingga 30 menit tanpa cookie atau akun
    • Firefox menghapus API tersebut pada 2016, tetapi Chrome dan Edge masih mengeksposnya

Teknik yang tidak dijalankan dan data yang tidak ditinggalkan

  • Deteksi situs login

    • Meski taken. tidak menjalankannya, ada teknik yang telah didokumentasikan, legal, dan tersebar luas untuk mendeteksi situs mana yang sedang Anda masuki dengan membuat browser memuat URL favicon layanan tertentu lalu mengamati keberhasilan atau kegagalannya
    • Teknik ini memanfaatkan perbedaan saat status masuk dan keluar mengembalikan gambar yang berbeda, sehingga dapat mengetahui apakah seseorang masuk ke Facebook, Google, X, GitHub, Reddit, LinkedIn, dan berbagai layanan lain tanpa izin

  • Barcode yang dihitung di dalam browser

    • 16 garis yang ditampilkan di bawah hitungan tersusun dari tinggi yang diturunkan dari GPU, font, ukuran layar, bahasa, zona waktu, sistem operasi, browser, dan kedalaman warna
    • Data yang sama akan membuat barcode yang sama, pengunjung yang berbeda akan melihat barcode yang berbeda, dan perhitungannya hanya terjadi di dalam browser tanpa dikirim keluar
    • Jika ada orang lain dengan sidik jari yang benar-benar sama, mereka akan melihat garis yang sama, tetapi kemungkinannya kecil

  • Cara kalimat dibuat

    • Semua kalimat ditulis langsung oleh Matt, dan pada saat eksekusi tidak ada model bahasa yang menulis atau mengoreksinya
    • Kode memilih salah satu dari template kalimat yang sudah ditulis sebelumnya berdasarkan nilai yang dikembalikan browser, dan jika ada kondisi yang tidak bisa ditangani dengan kalimat buatan manusia, maka tidak akan mengatakan apa pun

  • Yang dikirim ke server

    • Event yang dikirim ke server hanya dua event anonim, arrive dan complete, tanpa cookie, pengenal, atau IP yang disimpan
    • Server membuang isi tiap permintaan dan tidak mengembalikan apa pun; catatan lapisan transport bahwa permintaan pernah ada bisa tetap tertinggal di log selama masa retensi bawaan penyedia hosting, biasanya beberapa hari
    • Sebagian besar situs mengirim ratusan beacon tambahan ke pengiklan, pengumpul sidik jari, alat pemutaran ulang sesi, dan pengelola tag, tetapi taken. hanya mengirim dua ke servernya sendiri dan memberi tahu hal itu

  • Yang disimpan di perangkat

    • Tidak ada yang disimpan di cookies, localStorage, sessionStorage, IndexedDB, maupun cache service worker
    • Data yang ditampilkan di layar dihitung di dalam browser dan, selain pencarian geolokasi IP serta dua event anonim, tidak meninggalkan perangkat
    • Saat tab ditutup, taken. melupakan pengunjung, dan dengan sumber terbuka menutup dengan kalimat bahwa “kebanyakan halaman tidak bisa mengatakan itu”

  • Konteks seri dan pembuatan

    • Vol. I berfokus pada apa yang terjadi di dunia selama pengunjung berada di sana, Vol. II pada langit yang terlewat, Vol. III pada hal-hal yang sudah ada di bawah kaki, dan Vol. IV pada susunan yang makin menyempit hingga ke pengunjung itu sendiri
    • Halaman ini dibuat oleh Matt di Rise Up Labs, dan edisi berikutnya akan dipublikasikan di X dan Bluesky

Bacaan terkait

2 komentar

 
GN⁺ 2026-05-13
Komentar Lobste.rs

  • Mungkin aku cuma makin tua dan makin sinis, tapi tidak ada yang benar-benar baru dan berarti dari yang ditampilkan di sini. Meme “hot singles in your area” rasanya juga sudah hampir 20 tahun
    Untuk sebagian informasi, orang bisa bertanya-tanya apakah browser memang perlu mengeksposnya, tetapi sebagian lain dipakai untuk fingerprinting sekaligus dibutuhkan untuk fungsi dasar. Misalnya, bagus jika situs tahu bahwa aku lebih suka mode gelap, dan berguna juga jika tanggal dan waktu ditampilkan sesuai zona waktu
    Situs ini terasa lebih seperti penyajian fingerprinting yang sensasional daripada benar-benar memberi informasi praktis, dan kalau kamu khawatir soal fingerprinting, https://coveryourtracks.eff.org dari EFF adalah referensi yang jauh lebih baik
    Aku menganggap privasi itu penting dan juga mengambil langkah untuk sedikit mengurangi pelacakan, tetapi aku tidak terlalu percaya bahwa membatasi fingerprinting benar-benar membantu. Kalau ingin tidak punya fingerprint sama sekali, pengalaman browsing jadi sangat tidak nyaman, dan langkah setengah-setengah di tengah justru kemungkinan membuat fingerprint yang lebih unik

    • Bahkan kalau banyak orang sudah tahu isinya, cara penyampaian yang baru kadang tetap membantu. Anggota keluarga yang kurang paham teknologi merasa situs seperti ini membantu mereka memahami apa yang dikirim komputer mereka, dan secara artistik juga lebih menarik bagi mereka daripada coveryourtracks
    • Tidak punya fingerprint sama sekali, baik secara kiasan maupun harfiah, justru jadi keadaan yang lebih ~~mencurigakan~~ menonjol
      Dan banyak hal yang dilacak di sini terlalu umum. Kalau semua orang memakai font yang sama, lebih suka tema terang, dan tinggal di wilayah yang sama, bagaimana bisa dibuat profil yang benar-benar sangat unik untuk masing-masing orang?
    • Yang menyedihkan, zona waktu ditebak dari IP jadi tidak selalu benar

  • Demo yang indah, dan aku suka cara efek animasinya mengungkap informasi seiring waktu. Tapi analisis dan tulisannya terlalu berbasis perasaan untuk seleraku
    Misalnya, banyak informasi yang diklaim halaman ini telah “pahami” tentang browser sebenarnya adalah nilai hardcoded yang dikeluarkan Firefox terlepas dari keadaan perangkat yang sesungguhnya. Fingerprinter mungkin tidak menyadari perbedaannya, tetapi Firefox memilih konsistensi ketimbang informasi spesifik perangkat seperti jumlah CPU atau resolusi layar
    Di Firefox, halaman ini mengatakan bahwa informasi GPU-ku “disembunyikan” oleh browser, tetapi pada saat yang sama juga bilang browser menyerahkan informasi GPU. Cuma vibe?
    Di luar itu, saat melihat apakah pelacakan dimungkinkan di halaman lain, biasanya mereka mengukur entropi atau mencoba melihat seberapa unik kita, tetapi pendekatan itu juga sayangnya cacat. Beberapa browser menambahkan keacakan pada API yang seharusnya lebih rinci daripada sekadar “berapa jumlah CPU”
    Misalnya, Firefox bisa terlihat selalu unik bagi pelacak fingerprint canvas sehingga tampak menakutkan, tetapi sebenarnya ia punya fingerprint unik yang berbeda setiap kali. Coba buka halaman pengujian fingerprint dalam mode biasa dan mode privat, atau di container yang berbeda

    • “Anda membaca ini di ponsel yang menjalankan Linux. Browser-nya Firefox. Layarnya 0×0 piksel dan dirender dengan kepadatan 1.5789473684210527x. Layar mendukung 1 sentuhan simultan.”
      Haha, benar

  • Di masa awal internet, ada iklan banner dengan kalimat seperti “komputer Anda sedang menyiarkan alamat IP Anda!!!”. Situs ini sangat mengingatkanku pada masa itu, dan juga pada gagasan bahwa situs web yang kamu kunjungi mengetahui sesuatu tentang perangkat atau koneksimu itu berbahaya dalam cara yang samar dan sulit dijelaskan dengan kata-kata
    Saat keluar rumah, orang bisa melihat wajahku. Saat masuk toko, pelanggan lain bisa tahu rak mana yang sedang kulihat. Jika aku membeli sekotak telur, toko akan menyimpan catatan penjualan bertimestamp, dan kalau ada seseorang di luar toko yang mencatat siapa saja yang masuk dan keluar, mereka bahkan bisa menemukan struk di tempat sampah dan tahu bahwa aku membeli telur
    Kita bisa hidup dalam ketakutan terhadap pelanggaran privasi mengerikan yang selalu terjadi, menutup tirai dan mengurung diri di rumah sambil hanya berinteraksi dengan dunia lewat Monero yang dibeli memakai Tor, atau menerima bahwa ini memang bagian dari kehidupan sejak manusia ada, dan bahwa situs mengetahui zona waktu lokal atau CPU komputerk tidak menimbulkan bahaya besar

    • Yang bikin menyeramkan adalah jika fingerprint perangkat dipakai untuk membuat profil individu. Aku tidak terlalu peduli kalau situs web tahu font apa yang kupasang, tetapi menyeramkan jika informasi itu dibagikan ke pihak ketiga dan dipakai sebagai sarana membentuk profil individu dengan mencocokkan pola browsingku
      Dan mengatakan “ya memang begitu hidup, terima saja atau tinggal di hutan” menurutku bukan pendekatan yang baik untuk menyelesaikan masalah apa pun di dunia ini
    • Kalau memikirkan analogi “saat keluar rumah orang bisa melihat wajahku”, di pusat kota biasa kita bisa berpapasan dengan ratusan orang hanya dalam beberapa menit. Tentu mereka semua bisa melihat wajahku
      Tapi bayangkan kalau alih-alih sekadar melirik, mereka semua mendekat untuk menggambar sketsa wajahku, melihat jam lalu mencatat waktunya, serta menulis pakaian yang kupakai dan lokasiku. Mereka mungkin juga menanyaiku mau ke mana. Dalam dunia yang sedang kita tuju dengan cepat, mungkin mereka juga akan membuat salinan identitas resmi yang diterbitkan pemerintah
      Setelah aku lewat, ratusan orang ini membawa catatan mereka ke gedung besar yang diisi jutaan pegawai perusahaan raksasa dan pemerintah, dan di sana mereka mengarsipkan dengan teliti sketsa serta catatan tentang setiap orang di kota. Seperti detektif di film kriminal, mereka menempelkannya di papan besar dan menghubungkannya dengan benang merah
      Mereka melakukan ini setiap hari, bergerak untuk mengenal diriku. Apa ini benar-benar sesuatu yang samar dan sulit dijelaskan dengan kata-kata?

  • “Hal pertama yang dikirim perangkat Anda adalah alamat IP Anda, karena itulah kami mengetahui hal ini. Kami juga tahu sisanya. Kami memilih untuk tidak menampilkannya. Sebagian besar halaman tidak akan membuat pilihan itu.”
    Paragraf pertamanya agak mengganggu, dan terasa seperti pemasaran ketakutan yang ditujukan pada orang dengan pengetahuan teknis minim. Sudah jelas server web mengetahui IP-ku
    Kalimat “Kami memilih untuk tidak menampilkannya. Sebagian besar halaman tidak akan membuat pilihan itu” juga aneh. Aku tidak paham kenapa menampilkan alamat IP-ku kepadaku sendiri dianggap masalah, dan aku juga tidak merasa “sebagian besar halaman” benar-benar memilih untuk melakukan itu. Mungkin aku melewatkan maksud yang ingin disampaikan

  • “Alamat IP Anda — 88.xxx.xxx.231 — adalah hal pertama yang dikirim perangkat Anda. Kami juga tahu sisanya. Kami memilih untuk tidak menampilkannya. Sebagian besar halaman tidak akan membuat pilihan itu.”
    Memulai dengan kalimat ala InfoWars yang ceroboh seperti ini adalah pilihan yang berani. Bagiku itu langsung menurunkan kredibilitas sisa halaman, dan sebenarnya mungkin lebih tepat dibilang “menentukan suasananya”, karena sisanya juga sama buruknya

  • Tulisan ini tampaknya butuh judul yang jauh lebih deskriptif

  • “Layar Anda 375×812 piksel dan dirender dengan kepadatan 3x. Ini hampir pasti berarti layar kelas atas yang relatif baru.”
    Hmm, iPhone 13 mini ini perangkat dari 2021 dan sudah hampir 5 tahun, jadi menurutku tidak bisa dibilang seterbaru itu. Tapi halamannya sendiri tetap menarik

  • “Anda lebih menyukai antarmuka terang — sistem operasi Anda yang memberi tahu kami.”
    Namun situs web ini tetap mengabaikan preferensiku. Itu menunjukkan bahwa titik data seperti ini biasanya tidak dipakai situs web untuk meningkatkan pengalaman pengguna

    • Memangnya situs web ini punya mode terang? Rasanya tidak, karena mereka sepertinya memang ingin menyampaikan suasana menyeramkan

  • Pakai Chrome pasti berat ya

    • Menganggap fingerprinting tidak terjadi di browser lain itu naif. Dalam beberapa kasus justru menghasilkan fingerprint yang lebih unik

  • Aku sedang memakai koneksi 5G di Munich sekarang, tetapi situs itu mengira aku berada di London
 
GN⁺ 2026-05-09
Komentar Hacker News

  • Bahkan tidak berada di kota itu. Kalau dilihat secara longgar, paling cuma menjalankan sesuatu yang mirip Linux di atas sesuatu yang mirip Chrome, dan tak seorang pun bisa menyimpulkan kapan saya bekerja dan kapan saya tidur. Saya sendiri juga tidak tahu
    Katanya layar canggih modern, padahal ini cuma layar tablet murah yang saya beli di supermarket 5 tahun lalu, dan tetap saja fingerprinting browser itu menyebalkan. Kalau bisa mendeteksi light mode, kenapa tidak sekalian menghormati pengaturan itu?

    • Jumlah fingerprinting yang ditunjukkan halaman ini bukan apa-apa dibandingkan yang terjadi di web sungguhan
    • Persentase baterainya juga salah dan status pengisiannya juga salah. Soal minta light mode dihormati itu benar, tapi bahkan kalaupun begitu, kemungkinan tetap akan jadi tampilan sampah berkontras rendah
    • Dibilang saya “berada di Los Angeles”, padahal cuma zona waktu saya yang ke sana. Karena bahasa input saya ada dua lalu bertingkah seolah dapat skor “ketahuan”, padahal saya memang sering memakai bahasa kedua
      Katanya “English · Chinese” lalu bahasa utama browser dan bahasa tambahan bisa mengungkap tempat saya tumbuh, tempat tinggal, sampai siapa yang tinggal bersama saya, padahal punya bahasa input Inggris dan Mandarin tidak memberi tahu hal-hal seperti itu. Kurang lebih seperti bilang “fakta bahwa seseorang mengakses internet lewat ponsel menunjukkan bahwa orang itu adalah orang yang bisa mengakses internet lewat ponsel”. Teknologi saling berinteraksi, dan memang begitu cara teknologi bekerja. Ini memang Orwellian, tapi apakah lebih Orwellian daripada negara pengawas seperti Rusia/Tiongkok/Korea Utara itu perkara lain. Berbagi lokasi bisa dipakai untuk menemukan ponsel, mobil, dan perangkat; aktivitas online bisa dipakai untuk menemukan pelaku kejahatan; dan bisa juga merekam kejadian saat dibutuhkan pembuktian kejahatan atau pertanggungjawaban polisi. Melihat intrusivitas berlebihan teknologi sebagai bencana adalah pilihan kognitif, tetapi menyadari apa yang “diketahui” teknologi kita tentang kita tetap hal yang baik
    • Saya memakai Apple Private Relay VPN, jadi lokasinya meleset ratusan mil. Selalu menarik melihat menurut situs atau layanan, berdasarkan basis data lokasi, saya dianggap berada di mana, dan kalau dimatikan biasanya jadi akurat dalam beberapa mil. Untungnya hampir tidak ada tempat yang memblokir Apple VPN jadi saya tidak perlu mematikannya
      Soal light mode itu benar-benar saya rasakan. Saya baru pertengahan 30-an, tapi beberapa situs dark mode seperti ini bikin saya merasa seperti umur pertengahan 80-an. Situs ini benar-benar tidak kelihatan apa-apa
    • Saya juga tidak. Muncul Brussels, padahal sebenarnya saya ada di Antwerp. Resolusi layarnya juga salah

  • Saya berharap para pembela privasi setidaknya sekali saja bicara secara normal. Mengemas akses browser ke zona waktu seolah-olah itu hal jahat tidak akan meyakinkan siapa pun

    • “Anda lebih suka antarmuka gelap — sistem operasi Anda yang memberi tahu kami.” Jadi ini mau terdengar menyeramkan hanya karena pengaturan saya bekerja sebagaimana mestinya?
    • Setuju. Info seperti bahasa saya, apakah saya memakai dark mode, dan zona waktu saya bisa dipakai untuk memberi pengalaman pengguna yang lebih baik, jadi saya tidak terlalu peduli
    • Gaya LLM pendek yang biasa membuat semua hal terdengar dramatis, rasanya seperti suara kuku menggaruk papan tulis
    • Tapi kalau saya satu-satunya orang di dunia yang ada di zona waktu ini, berarti saya sudah berhasil diidentifikasi secara unik!

  • Yang penting bukan apakah informasinya akurat atau tidak. Yang penting, itu bisa jadi sarana untuk mengidentifikasi saya tanpa cookie. Setelah mencari situs yang lebih baik, pihak EFF ternyata lebih bermanfaat
    Sidik jari browser saya dibilang unik di antara pengunjung 45 hari terakhir: https://coveryourtracks.eff.org/

    • Saya dapat “Anda memiliki perlindungan kuat terhadap pelacakan web”. Sulit untuk tidak menyukai Firefox + uBlock Origin mode lanjutan, sambil tetap membiarkan JavaScript menyala agar situs tetap berfungsi
    • Kalau situs seperti itu dijalankan berkali-kali, bukannya hasilnya seharusnya tidak selalu unik?
    • Setidaknya di Eropa, walaupun yang dipakai bukan cookie melainkan fingerprinting, GDPR tetap berlaku. Kalau mau memakai informasi ini, mereka tetap harus mengungkapkannya dan memproses data sesuai hukum
    • Agak aneh kalau “ketakutan, ketidakpastian, dan keraguan tidak harus akurat”
    • Tetap saja, saya lebih suka kalau informasinya tidak akurat. Kalau situs-situs mau melacak saya dengan kasar, setidaknya saya bisa memberi mereka data sampah unik

  • Kalau berkunjung tanpa JavaScript, akan muncul “Jika JavaScript dimatikan, halaman ini tidak bisa memberi tahu apa yang browser Anda ungkapkan. Datanya tetap ada. Pengungkapan tetap terjadi. Yang berhenti hanya pemberitahuannya.”
    Gaya LLM yang bombastis seperti ini sangat mengganggu, tapi saya juga berterima kasih karena itu jadi sinyal bahwa ini aman untuk diabaikan sepenuhnya

  • Entah karena saya sudah tua, atau karena sudah hampir 30 tahun berkecimpung di software internet, tapi tidak ada satu pun dari ini yang terlihat mengejutkan atau mengkhawatirkan
    Seseorang mendirikan server yang menerima koneksi, dan seseorang mengirim permintaan koneksi ke server itu. Tidak ada kesepakatan, harapan, atau aturan yang ditetapkan. Server tidak wajib menerima semua permintaan koneksi, dan tidak ada yang wajib mengirim permintaan koneksi ke server itu. Apa yang server kembalikan dan bagaimana klien memprosesnya sepenuhnya terserah masing-masing
    Saya merasa kesepakatan ini, atau ketiadaan kesepakatan ini, berlaku untuk kedua belah pihak. Menurut saya pengguna tidak berhak marah kalau situs memakai informasi permintaan koneksi sesukanya, tetapi situs juga tidak seharusnya marah kalau saya memproses data yang saya terima sesuka saya. Artinya situs boleh mengingat alamat IP dan detail permintaan saya sebanyak yang mereka mau, dan saya pun boleh melakukan apa pun terhadap respons yang saya terima. Saya bisa memblokir iklan, menolak permintaan lanjutan yang diinstruksikan situs, atau menampilkan respons dengan cara yang saya mau. Saya yang meminta data, dan mereka yang mengirim data itu
    Kalau ada informasi tentang diri saya yang tidak ingin saya beri tahu, seharusnya jangan saya masukkan ke dalam permintaan. Kalau mereka hanya ingin saya memberi data saat iklan ditampilkan, maka mereka harus membuat saya menyetujui itu sebelum data dikirim. Tentu saja, di dunia nyata kebanyakan orang tidak tahu browser melakukan apa, juga tidak punya banyak pilihan nyata soal apa yang dikirim browser, dan internet bukan lagi sesuatu yang opsional dalam hidup. Hal-hal seperti DDoS juga membuat struktur “apa pun boleh” sepenuhnya jadi tidak realistis. Meski begitu, saya tetap punya intuisi bahwa saat membuat permintaan internet, kita tidak boleh berharap terlalu banyak dari kedua pihak

    • Ini masalah dasarnya. Browser seharusnya menjadi perwakilan pengguna. Namanya saja User Agent. Ia harus bekerja untuk pengguna, pengguna harus tahu apa yang dilakukan browser, dan browser tidak boleh melakukan hal-hal yang tidak dipahami dan tidak disetujui secara eksplisit oleh pengguna. Otoritas akhir atas apa yang dikirim browser saya harus ada di tangan saya, dan browser harus membuat penggunaan otoritas itu menjadi hal yang sepele
      Kenyataannya, browser adalah agen bagi orang lain. Ia bekerja untuk pengembang web dan menyediakan segala macam hal yang memudahkan hidup mereka. Ia bekerja untuk pengiklan dan menyediakan petunjuk pelacakan serta fingerprinting. Ia bekerja untuk pengembang browser dan mengumpulkan metrik, telemetri, dan entah data apa lagi. Tapi ia tidak lagi benar-benar bekerja untuk saya. Saya cuma penumpang di dalam mobil
      Saya paham bahwa alamat IP bukan sesuatu yang bisa dikendalikan browser, dan harus terungkap kalau ingin terhubung ke situs. Tapi fakta bahwa tanpa VPN, dalam kondisi default, alamat IP bisa dipetakan secara stabil ke negara, provinsi/negara bagian, kadang sampai kota, itu cacat desain yang mengerikan. Itu masalah desain besar dalam cara IP dialokasikan. Di dunia yang lebih baik, lokasi geografis seseorang tidak seharusnya terungkap hanya dari alamat IP
    • Kalimat seperti “Kami juga tahu sisanya. Kami memilih untuk tidak menampilkannya. Sebagian besar halaman mungkin tidak akan memilih begitu” terdengar seperti ditulis untuk menakut-nakuti anak-anak. Lagi pula yang ditampilkan itu bahkan bukan penyedia internet saya. Mungkin itu penyedia hulunya ISP saya
    • Saya juga sudah tua, tapi mungkin karena masih idealis, saya melihat banyak dari fitur ini jelas ditambahkan untuk tujuan tertentu
      Saat klien mengirim header bahasa atau daftar font yang didukung, itu tidak berarti server boleh “melakukan apa saja yang diinginkan dengan data ini”. Saat kami membuat standar, ada alasan nyata di baliknya. Ketika penyedia situs, atau lebih spesifiknya jaringan iklan, memutuskan memakai itu untuk tujuan lain, mereka sedang melanggar kesepakatan implisit tersebut. Tentu saja, mungkin saya memang berharap terlalu banyak
    • Lokasinya lucu sekali tidak akuratnya, dan sebagai orang yang menulis di sini saya juga tahu alasannya. Menyembunyikan alamat IP agak kekanak-kanakan, tapi kalau diteruskan ke bawah jadi lebih baik
      Ia tahu sisa baterai ponsel saya dan tebakan perangkatnya juga benar. Ia membaca gyroscope dan interaksi layar sentuh dengan akurat, dan menunjukkan bagaimana hal-hal seperti ini bisa dipakai untuk identifikasi dan inferensi. Bahkan hal seperti apakah saya sedang duduk, berdiri, atau berbaring pun bisa. Awalnya lambat, tapi makin ke belakang makin menarik
    • Kami para teknolog tua seperti masih ingin percaya pada idealisme libertarian teknis web lama. Tapi untuk itu, kita harus cukup banyak mengabaikan idealisme kapitalistik dan otoriter web modern
      Pendekatan bahwa tidak ada pihak yang berutang apa pun kepada pihak lain bekerja cukup baik di masa lalu, ketika sebagian besar pelaku dianggap beritikad baik. Tapi ketika uang dan kekuasaan di internet menjadi nyata, relasinya berubah menjadi lebih bermusuhan. Asumsi kepercayaan dan ketiadaan tanggung jawab membuat satu pihak mudah mengeksploitasi itikad baik pihak lain. Karena struktur server-klien web punya ketimpangan teknis dan kekuasaan yang melekat, penyalahgunaannya juga cenderung mengalir satu arah

  • Situsnya cantik dan kalimat bombastisnya lucu, tapi ada banyak demo fingerprinting yang lebih baik
    Jumlah titik data yang ditampilkan di sini sedikit. Sebenarnya masih banyak yang bisa diperiksa, dan banyak di antaranya tampak salah. Hanya satu yang secara eksplisit terdeteksi sebagai “withheld”, tapi sebenarnya beberapa tampaknya disembunyikan sehingga output-nya jadi aneh. Perlu quality control

    • Nada yang berlebihan itu cukup lucu. Rasanya seperti, “Anda berada di [kota yang salah]. Kami bisa mengirim tim ninja sekarang juga untuk membunuh Anda, tapi kami memilih untuk tidak melakukannya. Bersyukurlah”
    • Singkatnya, ini cuma proyek rongsokan buatan AI lagi. Saya sudah melihat gaya UI seperti ini puluhan kali, dan selalu ditemani kalimat panjang berlebihan yang langsung ketahuan

  • Rasanya seperti EFF Cover Your Tracks yang dibuat dengan vibe coding. Fakta bahwa ini bisa naik ke halaman depan lebih menakutkan daripada isinya

    • Betul. Ini terlihat seperti halaman yang diberi perintah “salin ini tanpa terlalu kentara, lalu tambahkan tema landing page yang mencolok”. Jelek
    • Akun yang mengunggah ini baru 21 hari, belum pernah berkomentar sekali pun, dan juga tidak mengikuti utas ini. Tidak pernah membalas komentar, dan sepertinya juga tidak akan pernah. Fakta bahwa kiriman seperti ini tidak dilaporkan sedang merusak Hacker News

  • Ada jauh lebih banyak hal yang bisa dilihat di sini. Sudah banyak juga karya terdahulu tentang super cookie dan fingerprinting
    https://coveryourtracks.eff.org/
    https://amiunique.org/

    • Menarik. Setelah menjalankan situs EFF, di antara berbagai informasi saya ditandai sebagai “MacIntel”. Saya sempat kaget, mengira saya masih menjalankan build x86 Firefox
    • Keduanya ditautkan di modal Sources & Confessions di bagian bawah. Cover Your Tracks adalah leluhur spiritual dari seluruh karya ini, dan amiunique lebih ketat. Ini seperti sepupu versi swastanya
    • Ada juga alat lain untuk memeriksa kebocoran informasi: https://www.ipleak.com/full-report/

  • Wow, sepertinya seseorang yang memakai ChatGPT menemukan konsep header browser lalu anehnya menambahkan kalimat seperti “kami memilih untuk tidak memberi tahu Anda”
    Kalau benar-benar ingin tahu apa yang dikirim browser Anda, lihat saja ini:
    https://browserleaks.com/
    https://coveryourtracks.eff.org/

  • “Kami tidak meminta lokasi Anda. Alamat Anda tiba lebih dulu daripada Anda” itu omong kosong. Mereka memang meminta lokasi saya dengan melakukan lookup ke API/layanan geolokasi memakai alamat IP saya sebagai kunci
    Dan agar komunikasi internet bisa bekerja, IP nyaris wajib. Memang ada cara memakai layanan yang menyembunyikannya, tapi kalau begitu layanan itu yang akan memiliki informasi saya

    • Bukan. Browser memang punya mekanisme untuk meminta informasi lokasi, dan “meminta” yang dimaksud di sini adalah mereka tidak melakukan itu. Yang penting adalah mereka tidak bertanya kepada pengguna
      Kalau ada kamus, Anda tidak harus menanyakan arti sebuah kata kepada lawan bicara Anda; Anda bisa mencarinya di kamus. Kata itu bisa punya banyak arti atau bersifat informal sehingga inferensinya bisa salah. Untuk memperbaiki ketidakakuratan itu, Anda butuh titik data lain seperti konteks percakapan, atau meminta konfirmasi langsung kepada lawan bicara
    • Sepertinya Anda salah membacanya. Maksudnya bukan “tidak bertanya kepada siapa pun”, melainkan tidak bertanya langsung kepada pengguna
      Dan tentu saja alamatnya datang lebih dulu. Kalau tidak, bagaimana mereka mengirim balik data yang diminta?
    • Proxy multi-hop seperti Tor dikenal, tergantung strukturnya, tidak memungkinkan pemetaan antara IP asal dan IP tujuan