Canvas Fingerprinting
טביעת אצבע של canvas היא טכניקה המרנדרת טקסט או גרפיקה לאלמנט canvas של HTML5 וקוראת בחזרה את נתוני הפיקסלים המתקבלים כדי לגזור מזהה ייחודי למכשיר. הבדלים זעירים ב-GPU, במנהל ההתקן הגרפי, ברסטור הגופנים ובהחלקת הקצוות גורמים לכך שאותן הוראות ציור מפיקות פיקסלים שונים במקצת במכונות שונות.
איך Canvas Fingerprinting עובד
סקריפט יוצר canvas מחוץ למסך ומנפיק פקודות ציור, בדרך כלל רינדור מחרוזת טקסט בגופנים מסוימים לצד צורות, מעברי צבע וצבעים. הדפדפן מעביר את ההוראות הללו למחסנית הגרפית, שם הפיקסלים המדויקים שנוצרים תלויים במערכת ההפעלה, ב-GPU, בגרסת מנהל ההתקן ובמנוע ה-hinting של הגופנים.
לאחר מכן הסקריפט קורא למתודה כמו toDataURL או getImageData כדי לחלץ את מאגר הפיקסלים המרונדר. מאגר זה מצומצם באמצעות hash לערך קומפקטי. מכיוון שצינור הרינדור שונה בין מכשירים, ה-hash נוטה להיות עקבי עבור מכשיר אחד ולהשתנות בין מכשירים, מה שהופך אותו לאות מבחין שימושי.
פלט ה-canvas יציב יחסית לאורך זמן משום שהחומרה ומנהלי ההתקן הבסיסיים משתנים לעיתים נדירות. עם זאת, הוא עשוי להשתנות לאחר עדכון מנהל התקן, שדרוג מערכת הפעלה או שינוי בהתנהגות הרינדור של הדפדפן, ולכן הוא משולב בדרך כלל עם אותות אחרים ולא נסמכים עליו לבדו.
כלי פרטיות וחלק מהדפדפנים מנטרלים את טביעת אצבע ה-canvas על ידי הוספת רעש אקראי לנתוני הפיקסלים או בקשת אישור לפני שהם מתירים את הקריאה. הפרעה מכוונת זו ניתנת בעצמה לזיהוי ואפשר להתייחס אליה כאל אות בפני עצמו.
מדוע Canvas Fingerprinting חשוב למניעת הונאות
טביעת אצבע של canvas תורמת מידע בעל אנטרופיה גבוהה על החומרה הבסיסית, מה שהופך אותה לבעלת ערך להבחנה בין מכשירים שאחרת נראים זהים ברמת הדפדפן. במניעת הונאות היא מסייעת לחשוף חוות של מכונות דומות, אמולטורים ודפדפני anti-detect שמזייפים מאפיינים ברמה גבוהה אך אינם יכולים לזייף בקלות את צינור הרינדור האמיתי. זהו אות עבודה מרכזי לזיהוי מכשירים ללא עוגיות.
איך TRACIO מטפלת בזה
TRACIO משתמשת ברינדור ה-canvas כאחד מ-130+ האותות שלה, ומשקללת אותו לפי כמה ייחודי ויציב הוא מתגלה עבור מבקר נתון במקום להתייחס אליו כ-ID ייחודי בפני עצמו. מכיוון שתוקפים עשויים להזריק רעש ל-canvas, TRACIO מצליבה אותו מול אותות רינדור וחומרה אחרים כך שזיוף ממד אחד אינו מבטל את הזיהוי. כך הזיהוי נשאר חסון תוך הזנת ציון הביטחון הכולל.
העמיקו עוד
שאלות נפוצות
זהו כל מכשיר בביטחון
התחילו עם תוכנית חינמית של 2,500 קריאות API בחודש. אין צורך בכרטיס אשראי.