I ricercatori informatici della Princeton University hanno condotto un'interessante analisi, che ha portato a scoprire l'uso degli audio fingerprint su un campione di oltre un milione dei siti più popolari al mondo. Quello che si è scoperto è che l'80% di essi potrebbe sfruttare una tecnica di identificazione dell'utente basata su un nuovo tipo di fingerprint, cioè un insieme di dati che rilasciamo senza saperlo quando navighiamo sul web.
Le tracce che lasciamo in rete: guida ai fingerprint
Nello specifico, sono state effettuate 15 diversi tipi di misurazioni su ogni sito, dove quello che si andava a considerare è il livello di interazione tra il browser dell'utente ed il sito stesso, suddiviso tra due tronconi di tracciamento: alcuni basati su cookie (stateful), altri basati sui fingerprint (stateless), questi ultimi essendo una misurazione che combina caratteristiche della macchina rilevabili in rete (tipo di browser, versione del sistema operativo, hardware in uso, plugin installati) alla fine di generare un hash, cioè un codice univoco in grado di identificare l'utente.
Lo studio in questione analizza nello specifico un nuovo tipo di "impronta digitale", ovvero le tecniche di fingerprint usate da un milione di siti web tra i principali top al mondo, in particolare relativamente a quelle a livello audio.
La pagina web che permette di testare il fingerprint - e mostrare il grafico qui sopra, ad esempio - mostra questo: sfruttando la Canvas API e l'AudioContext API del browser, non vengono registrati suoni dalla macchina dell'utente (come si potrebbe pensare a prima vista), bensà¬ viene rilevato internamente il suono prodotto dallo stack audio del PC o smartphone in uso. Combinando queste informazioni con indirizzo IP, User-Agent ed altre informazioni, è possibile rilevare una sorta di "impronta digitale" teoricamente univoca, che permette di identificare in modo univoco (con un piccolo margine di errore, a volte) qualsiasi dispositivo connesso in rete.
Il metodo non ha nulla a che vedere con il microfono del dispositivo, quindi, e non è una tecnica che vorrebbe evocare quella, decisamente più preoccupante, del RAT (Remote Access Tools, una strategia subdola per accedere webcam e microfono dell'utente senza che se ne accorga), bensà¬ con il modo in cui un segnale audio viene processato dallo smartphone o dal PC dell'utente; tecnica che contribuisce a quella, molto più generale, di trovare modi per catalogare gli utenti in rete sulla base dei dispositivi che usano per connettersi.
Lo scopo finale è quello di misurare il livello di privacy di ogni browser come Chrome, Firefox ed altri: lo script Python usato per i test, di fatto, è disponibile come progetto open source su GitHub.
Photo by AJC ajcann.wordpress.com