मेरा ब्राउज़र क्या बता देता है?
हर वह संकेत जो आपका ब्राउज़र अपने आप सौंप देता है, और हर एक आपको कितना पहचान योग्य बनाता है।
यह कुकी से ज़्यादा मुश्किल से पीछा छुड़ाने वाली चीज़ क्यों है
कुकी एक फ़ाइल है। उसका नाम होता है, मियाद होती है, और मिटाने का बटन होता है — और उसे साफ़ करना सचमुच काम करता है। फ़िंगरप्रिंट कहीं सहेजा ही नहीं जाता — वह हर बार आपके आने पर, इस बात से दोबारा गिना जाता है कि आपका ब्राउज़र क्या है। आपकी मशीन पर न कुछ ढूँढ़ने को है, न मिटाने को — इसीलिए «मैं तो कुकी साफ़ करता हूँ» इसका जवाब नहीं है।
ऊपर के किसी भी मान ने अनुमति का संकेत नहीं माँगा। आपकी स्क्रीन का आकार, GPU, लगे हुए फ़ॉन्ट और टाइमज़ोन — इन्हें किसी भी पेज की कोई भी स्क्रिप्ट पढ़ सकती है, और तब से पढ़ सकती थी जब इन्हें जोड़ने की बात किसी के दिमाग़ में आई भी नहीं थी। वह जोड़ ही तकनीक है: कोई एक मान अकेला आपको नहीं पहचानता, पर हर एक आबादी को बाँट देता है, और दर्जन भर बँटवारे आम तौर पर आपको एक ही व्यक्ति के समूह पर ला छोड़ने के लिए काफ़ी हैं।
पहचानने की ताक़त असल में कहाँ से आती है
ऊपर की सूची में लाल बिंदु उन्हीं संकेतों पर हैं जो असल काम करते हैं। मोटे तौर पर क्रम में:
- GPU रेंडरर। ग्राफ़िक्स चिप और ड्राइवर की ठीक-ठीक स्ट्रिंग। सटीक, मशीन की पूरी उम्र तक स्थिर, और डेस्कटॉप पर इतनी असामान्य कि क़रीब-क़रीब निर्णायक। ठीक इसी वजह से कई ब्राउज़र अब उसे एक फ़्लैग के पीछे छिपाते हैं।
- लगे हुए फ़ॉन्ट। फ़ॉन्ट कोई जान-बूझकर नहीं लगाता — वे एप्लिकेशन के साथ आ जाते हैं। इसलिए यह समूह असल में उन सॉफ़्टवेयरों की सूची है जो आप चलाते हैं, और यह हैरतअंगेज़ ढंग से विशिष्ट होती है।
- Canvas रेंडरिंग। दो मशीनों पर वही आकृति और वही टेक्स्ट बनाइए, पिक्सेल अलग निकलेंगे — क्योंकि एंटी-एलियासिंग और फ़ॉन्ट हिंटिंग GPU ड्राइवर में लागू होते हैं। नतीजे का हैश ले लीजिए और आपके पास एक ऐसे API से हर डिवाइस का स्थिर मान आ गया जो बना ही ग्राफ़िक्स बनाने के लिए था।
- टाइमज़ोन। अकेले में कमज़ोर — आपके जैसा टाइमज़ोन करोड़ों लोगों का है। दिलचस्प इसलिए कि यह ऑपरेटिंग सिस्टम से आता है, और इसीलिए यही वह मान है जिसके बाक़ी सबसे टकराने की संभावना सबसे ज़्यादा है।
और यूज़र एजेंट — जिसकी चर्चा सब करते हैं — इस सूची के सबसे कमज़ोर संकेतों में से एक है। करोड़ों लोग उसी Windows संस्करण पर वही Chrome बिल्ड चलाते हैं। दायरा सिर्फ़ वर्शन नंबर घटाते हैं, और ब्राउज़र लगातार उन्हें जमाते और काटते आ रहे हैं।
लोग क्या आज़माते हैं, और उससे होता क्या है
| तरीक़ा | ऊपर के संकेतों पर असर |
|---|---|
| कुकी साफ़ करना | कुछ नहीं। इस पेज का एक भी मान कुकी में सहेजा नहीं जाता। |
| प्राइवेट / इनकॉग्निटो विंडो | ज़्यादातर ब्राउज़रों में कुछ नहीं। हैश ख़ुद मिलाकर देखिए — वह आम तौर पर वही निकलता है। |
| VPN से जुड़ना | कुछ नहीं। वह आपका IP पता बदलता है, और वह इस पेज पर है ही नहीं। |
| यूज़र-एजेंट बदलने वाला एक्सटेंशन | आम तौर पर और बुरा। वह ऐसा मेल बना देता है जो और किसी के पास नहीं, और दावा किए गए तथा असली प्लेटफ़ॉर्म का बेमेल ख़ुद ही पकड़ में आ जाता है। |
Brave, या resistFingerprinting वाला Firefox | असली कमी। canvas यादृच्छिक कर दिया जाता है या रोक दिया जाता है, हार्डवेयर के मान गोल कर दिए जाते हैं या दिए ही नहीं जाते, और फ़ॉन्ट एक मानक समूह तक सीमित रहते हैं। |
| Tor Browser | उपलब्ध सबसे मज़बूत, और वह भी अलग रणनीति से: हर उपयोगकर्ता को असामान्य बनाने के बजाय एक जैसा बना दिया जाता है। |
उस तालिका का ढर्रा ही पूरा सबक़ है। फ़िंगरप्रिंटिंग भीड़ से आपके अलग होने को नापती है, इसलिए जो भी चीज़ आपको विशिष्ट बनाती है वह ट्रैकर की मदद करती है — भले उसकी नीयत कितनी ही निजता-हितैषी क्यों न रही हो। भीड़ में घुल जाना ही अकेली रणनीति है जो पैमाने पर काम करती है, और इसीलिए जो ब्राउज़र इसे गंभीरता से लेते हैं वे अपने उपयोगकर्ताओं को अनोखा नहीं, आपस में अदल-बदल लायक़ बनाने पर आ जाते हैं।
रीलोड करने पर आपका हैश क्यों बदल सकता है
अगर इस पेज के ऊपर वाला मान हर बार ताज़ा करने पर अलग निकलता है, तो वह बग नहीं है। Brave और Firefox का रेज़िस्ट-फ़िंगरप्रिंटिंग मोड — दोनों canvas की पढ़ाई में हर सत्र का अपना शोर मिलाते हैं, ठीक इसीलिए कि निकलने वाला हैश पहचानकर्ता के तौर पर काम न आ सके। जो हैश बदलता रहे वह किसी को ट्रैक नहीं करता — और नतीजा आप यही चाहते हैं, और इसीलिए एक बार रीलोड करके जाँच लेना काम की बात है।
यह बाक़ी सब के साथ कहाँ बैठता है
फ़िंगरप्रिंटिंग डिवाइस वाली परत है। नेटवर्क वाली परत अलग सवाल है, और उसके जवाब भी अलग: आपका IP पता क्या उजागर करता है, आपकी DNS क्वेरियाँ वहीं जा रही हैं या नहीं जहाँ आप समझ रहे हैं, और WebRTC कोई ऐसा पता तो नहीं उजागर कर रहा जो आपकी प्रॉक्सी सेटिंग ने कभी देखा ही नहीं। VPN असल में इन्हीं को बदलता है। और अगर आप दोनों परतें एक ही बार में परखवाना चाहें, तो पूरी प्राइवेसी जाँच दोनों को साथ सँभाल लेती है।
फ़िंगरप्रिंटिंग के बारे में लोग क्या पूछते हैं
मेरा फ़िंगरप्रिंट कितना अनोखा है?
यह पेज आपको नहीं बताएगा, क्योंकि वह जान ही नहीं सकता। «आप 2,80,000 परखे गए ब्राउज़रों में अनोखे हैं» जैसे आँकड़े के लिए हर उस आगंतुक का डेटाबेस चाहिए जिसने कभी यह जाँच चलाई — यानी फ़िंगरप्रिंट सहेजना, और यह टूल ठीक यही न करने के लिए बना है। जो साइटें ऐसा अनुपात बताती हैं वे आपकी तुलना अपने ही आगंतुकों के समूह से करती हैं, जो निजता के प्रति सजग लोगों की ओर झुका हुआ है और वह आबादी है ही नहीं जो मायने रखती है। ऊपर की सूची से आप यह ज़रूर आँक सकते हैं कि आपके कौन-से संकेत असामान्य हैं — और अमल इसी हिस्से पर हो सकता है।
क्या VPN मेरा ब्राउज़र फ़िंगरप्रिंट बदल देता है?
नहीं, और VPN के बारे में यही सबसे आम ग़लतफ़हमी है। VPN नेटवर्क पर काम करता है: वह उस IP पते को बदलता है जो साइट देखती है और रास्ते में ट्रैफ़िक एन्क्रिप्ट करता है। इस पेज का हर मान आपके डिवाइस और ब्राउज़र से आता है, आपके कनेक्शन से नहीं, इसलिए जुड़ने से पहले और बाद में सब कुछ एक जैसा रहता है। जानने लायक़ बात उलटी दिशा में है — किसी दूर के सर्वर से जुड़ने पर आपके IP की लोकेशन और आपके न बदले हुए टाइमज़ोन के बीच एक साफ़ दिखने वाला विरोधाभास बन जाता है।
क्या प्राइवेट या इनकॉग्निटो मोड मदद करता है?
फ़िंगरप्रिंटिंग के ख़िलाफ़ लगभग बिलकुल नहीं। प्राइवेट ब्राउज़िंग विंडो बंद करने पर कुकी और इतिहास मिटा देती है; वह आपकी स्क्रीन का आकार, GPU, फ़ॉन्ट, टाइमज़ोन या canvas की रेंडरिंग नहीं बदलती। इस पेज को प्राइवेट विंडो में खोलिए और हैश मिलाइए — ज़्यादातर ब्राउज़रों में वह बिलकुल वही निकलेगा, क्योंकि जिन संकेतों से वह बना है उनका सहेजे गए डेटा से कोई लेना-देना नहीं।
क्या मैं फ़िंगरप्रिंट होने से बच सकता हूँ?
आप उसे घटा सकते हैं, और कारगर तरीक़े सहज-बुद्धि के उलट हैं। अलग दिखने से बेहतर है भीड़ में घुल जाना: Tor Browser हर उपयोगकर्ता को एक जैसा दिखा देता है, और यह ख़ुद को असामान्य बना लेने से कहीं ज़्यादा मज़बूत है। resistFingerprinting वाला Firefox और अपनी रैंडमाइज़ेशन वाला Brave — दोनों संकेत को ठोस रूप से कमज़ोर करते हैं। जो काम नहीं करता वह है हाथ से यूज़र एजेंट बदलना या कोई स्पूफ़िंग एक्सटेंशन लगाना — मानों का असामान्य मेल उस सामान्य मेल से ज़्यादा पहचान कराता है जिसे आपने हटाया, और नक़ली तथा असली मानों के बीच की असंगतियाँ ख़ुद पकड़ में आ जाती हैं।
«डू नॉट ट्रैक» को पहचान कराने वाला क्यों गिना गया है?
क्योंकि उसे चालू करने वाले बहुत कम हैं। जिस सेटिंग को थोड़े-से लोग चालू करते हैं वह आबादी को असमान रूप से बाँट देती है, और उस छोटे समूह में होना ही आपको अलग पहचानने लायक़ बना देता है। साथ में यह भी कि यह हेडर सिर्फ़ सलाह भर है और लगभग सार्वभौमिक रूप से अनदेखा किया जाता है — यानी उसे चालू करना आपकी थोड़ी-सी निजता ले लेता है और बदले में कुछ नहीं देता। यह आम समस्या की सुंदर मिसाल है: डिफ़ॉल्ट से हर विचलन थोड़ी-सी सूचना है।
क्या फ़िंगरप्रिंटिंग वैध है?
यह प्रतिबंधित नहीं, नियंत्रित है। ब्रिटेन और यूरोपीय संघ के नियमों के तहत किसी डिवाइस पर सूचना सहेजने या पढ़ने के लिए आम तौर पर सहमति चाहिए, और ब्रिटेन के ICO तथा यूरोपीय नियामकों — दोनों ने कहा है कि फ़िंगरप्रिंटिंग इसी दायरे में आती है; तकनीकी फ़र्क़ों के बावजूद उसे काफ़ी हद तक कुकी जैसा ही माना जाता है। अमल असमान है, और यह तकनीक विज्ञापन जितनी ही व्यापक रूप से धोखाधड़ी पकड़ने और बॉट रोकने में भी इस्तेमाल होती है। जिस पर कोई विवाद नहीं वह यह है कि यह अदृश्य है: ऊपर की सूची में किसी भी चीज़ ने अनुमति का कोई संकेत नहीं दिखाया।
The one place your VPN and your fingerprint contradict each other.
Nothing on this page changes when you connect to a VPN — it all comes from your device, not your network. What does change is your IP address, and that creates a mismatch worth knowing about: if your IP says Frankfurt while your timezone still says Asia/Karachi, a site can see both. It is not a leak and it does not undo the encryption, but it is a signal, and it is why JaguarVPN offers exit locations across enough regions to pick one near you rather than one that argues with your clock.
अंतिम समीक्षा । कुछ पुराना पड़ा हुआ मिला? हमें बताइए.