Fingerprints are the new cookies

Artigo original ↗ Discussão no Hacker News ↗

A impressão digital de navegador e dispositivo está emergindo como um poderoso substituto para cookies de rastreamento, usando sinais técnicos sutis (de fontes e detalhes da GPU a padrões de comportamento) para reconhecer usuários mesmo em modos privados, VPNs e IPs em mudança. Os comentaristas ponderam seus benefícios para prevenção de fraude e mitigação de bots contra os riscos de vigilância onipresente, muitas vezes invisível, que banners de consentimento e leis de privacidade existentes lutam para conter de forma significativa. Muitos argumentam que defesas técnicas como navegadores anti-impressão digital são apenas soluções parciais e que conter a corretagem de dados e a publicidade baseada em vigilância no nível legal e econômico é cada vez mais essencial.

Cookies vs. Fingerprints

  • Muitos observam que os cookies em si são ferramentas benignas de manutenção de estado; o abuso está no rastreamento e na revenda de dados.
  • A impressão digital é apresentada como o próximo passo: mais difícil de bloquear do que cookies, resistente à limpeza do armazenamento e já amplamente implantada.
  • Vários argumentam que todo o debate sobre “cookies” foi uma cortina de fumaça; o rastreamento nunca esteve limitado a cookies.

Enquadramento Legal e Regulatório

  • Vários comentários dizem que a impressão digital do navegador já é ilegal na UE sem consentimento, sob o ePrivacy e o GDPR, independentemente de cookies serem usados.
  • Outros apontam que os banners deveriam falar sobre rastreamento, não cookies, e que cookies funcionais, mas não essenciais, também exigem consentimento.
  • Alguns reclamam que a fiscalização é fraca e que a conformidade maliciosa (diálogos de consentimento enormes e confusos; abuso de “interesse legítimo”) mina as regras.

Eficácia e Limites da Impressão Digital

  • Demonstrações (fingerprint.com, CreepJS) impressionam muitos: elas conseguem correlacionar sessões entre IPs, VPNs e dispositivos.
  • Outros enfatizam a realidade comercial: a maioria dos serviços ainda depende fortemente de IP e identificadores estáveis (e-mail, telefone, login); impressões digitais isoladamente são ruidosas e mudam com frequência.
  • Há debate sobre entropia: desktop/Android são vistos como de alta entropia; iOS é considerado mais uniforme, embora apps nativos e identificadores em nível de sistema operacional ainda vazem muitos bits.
  • Equipes de fraude e abuso relatam que impressões digitais de dispositivos não eliminam a fraude, mas aumentam o custo para o atacante e detectam abusos de baixo esforço.

Defesas do Usuário e Trocas de Compromisso

  • Técnicas mencionadas: Tor Browser, Mullvad/Brave com anti-impressão digital, JS desativado por padrão, VPNs, compartimentalização de atividades entre navegadores/dispositivos, extensões como JShelter, CanvasBlocker, Chameleon, uBlock, bloqueio em nível de DNS.
  • Defesas fortes frequentemente acionam captchas, verificações da Cloudflare, novo login com 2FA a cada visita e, às vezes, banimentos diretos.
  • Alguns argumentam que se misturar a uma multidão grande (“impressão digital não única”) é melhor do que usar configurações obviamente falsificadas ou altamente únicas.

Publicidade, Corretagem de Dados e Sociedade

  • Há uma grande divisão: alguns veem a análise de padrões desidentificados e a segmentação de anúncios como aceitáveis; outros veem isso como capitalismo de vigilância afetando empregos, preços, atendimento ao cliente e a vida offline.
  • As propostas vão de banir publicidade de terceiros ou toda publicidade, a banir a corretagem de dados, até leis de privacidade fortes com penalidades reais.
  • Argumentos de “não tenho nada a esconder” são contestados com exemplos de mudança de regime, criminalização de comportamentos, efeitos inibidores sobre jornalismo e ativismo.

Design do Navegador e Web APIs

  • Muitos culpam APIs permissivas da web (JS, WebGL/WebGPU, áudio, fontes, temporização, cabeçalhos, comportamento de CSS) por viabilizarem a impressão digital.
  • Mitigações sugeridas: condicionar APIs de alta entropia a permissões, reduzir informações expostas, padronizar ou randomizar saídas, ou até reduzir a dependência de scripts do lado do cliente — embora outros achem que esse barco já partiu.