Las huellas digitales son las nuevas cookies

Artículo original ↗ Discusión en Hacker News ↗

El fingerprinting del navegador y del dispositivo está emergiendo como un poderoso sustituto de las cookies de seguimiento, utilizando señales técnicas sutiles (desde las fuentes y los detalles de la GPU hasta patrones de comportamiento) para reconocer a los usuarios incluso a través de modos privados, VPNs y cambios de IP. Los comentaristas evalúan sus ventajas para la prevención del fraude y la mitigación de bots frente a los riesgos de una vigilancia generalizada, a menudo invisible, que los banners de consentimiento y las leyes de privacidad existentes tienen dificultades para limitar de forma significativa. Muchos sostienen que las defensas técnicas como los navegadores anti-fingerprinting solo son soluciones parciales y que frenar la intermediación de datos y la publicidad basada en la vigilancia a nivel legal y económico es cada vez más esencial.

Cookies vs. huellas digitales

  • Muchos señalan que las cookies en sí son herramientas benignas para mantener estado; el abuso es el seguimiento y la reventa de datos.
  • El fingerprinting se presenta como el siguiente paso: más difícil de bloquear que las cookies, resistente al borrado del almacenamiento y ya ampliamente desplegado.
  • Varios argumentan que todo el debate sobre las “cookies” fue una distracción; el seguimiento nunca se limitó a las cookies.

Enfoque legal y regulatorio

  • Varios comentarios dicen que el fingerprinting del navegador ya es ilegal en la UE sin consentimiento, bajo ePrivacy y GDPR, independientemente de si se usan cookies.
  • Otros señalan que los banners deberían tratar sobre el seguimiento, no sobre las cookies, y que las cookies funcionales pero no esenciales también requieren consentimiento.
  • Algunos se quejan de que la aplicación es débil y de que el cumplimiento malicioso (diálogos de consentimiento enormes y confusos; abuso del “interés legítimo”) socava las reglas.

Eficacia y límites del fingerprinting

  • Las demostraciones (fingerprint.com, CreepJS) impresionan a muchos: pueden correlacionar sesiones entre IPs, VPNs y dispositivos.
  • Otros enfatizan la realidad comercial: la mayoría de los servicios sigue apoyándose mucho en la IP y en identificadores estables (correo electrónico, teléfono, inicio de sesión); las huellas digitales por sí solas son ruidosas y cambian con frecuencia.
  • Hay debate sobre la entropía: escritorio/Android se consideran de alta entropía; iOS se piensa más uniforme, aunque las apps nativas y los IDs a nivel del sistema operativo siguen filtrando muchos bits.
  • Los equipos de fraude y abuso informan que las huellas digitales del dispositivo no eliminan el fraude, pero sí elevan el coste para los atacantes y detectan abusos de baja sofisticación.

Defensas del usuario y compromisos

  • Técnicas mencionadas: Tor Browser, Mullvad/Brave con anti-fingerprinting, JS desactivado por defecto, VPNs, compartimentar actividades entre navegadores/dispositivos, extensiones como JShelter, CanvasBlocker, Chameleon, uBlock, bloqueo a nivel DNS.
  • Las defensas fuertes suelen activar captchas, comprobaciones de Cloudflare, reingreso de 2FA en cada visita y, a veces, bloqueos directos.
  • Algunos sostienen que mezclarse con una gran multitud (“huella no única”) es mejor que configuraciones claramente falsificadas o muy únicas.

Publicidad, intermediación de datos y sociedad

  • Hay una gran división: algunos ven el análisis de patrones desidentificados y la segmentación publicitaria como aceptables; otros lo ven como vigilancia capitalista que afecta empleos, precios, atención al cliente y la vida fuera de línea.
  • Las propuestas van desde prohibir la publicidad de terceros o toda la publicidad, hasta prohibir la intermediación de datos, o imponer leyes de privacidad fuertes con sanciones reales.
  • Los argumentos de “nada que ocultar” se cuestionan con ejemplos de cambio de régimen, criminalización de conductas y efectos disuasorios sobre el periodismo y el activismo.

Diseño del navegador y APIs web

  • Muchos culpan a las APIs web permisivas (JS, WebGL/WebGPU, audio, fuentes, temporización, encabezados, comportamiento CSS) de habilitar el fingerprinting.
  • Mitigaciones sugeridas: poner las APIs de alta entropía detrás de permisos, reducir la información expuesta, estandarizar o aleatorizar las salidas, o incluso retroceder en la dependencia del scripting del lado del cliente, aunque otros creen que ese barco ya zarpó.