ব্রাউজার ফিঙ্গারপ্রিন্টিং কী

ব্রাউজার ফিঙ্গারপ্রিন্ট হলো একটি উচ্চ-এন্ট্রপি শনাক্তকারী যা ব্রাউজার যেকোনো চলমান JavaScript-এ প্রকাশ করে এমন বৈশিষ্ট্য থেকে তৈরি। মূল কৌশলগুলি বেশ কয়েকটি পরিবারে বিভক্ত, প্রতিটি সম্মিলিত ফিঙ্গারপ্রিন্টে এন্ট্রপি অবদান রাখে।

Canvas ফিঙ্গারপ্রিন্টিং

HTML5 canvas উপাদানটি অন্তর্নিহিত GPU, ড্রাইভার, অপারেটিং সিস্টেম এবং ফন্ট সাবসিস্টেমের উপর নির্ভর করে সামান্য ভিন্নভাবে গ্রাফিক্স রেন্ডার করে। একটি নির্দিষ্ট স্ট্রিং একটি নির্দিষ্ট ফন্ট দিয়ে আঁকা, তারপর ফলস্বরূপ পিক্সেল ডেটা হ্যাশ করা, একটি শনাক্তকারী তৈরি করে যা ডিভাইস জুড়ে পরিবর্তিত হয় কিন্তু একই ডিভাইসে সেশন জুড়ে স্থিতিশীল থাকে। Canvas ফিঙ্গারপ্রিন্টিং হলো প্রামাণিক উদাহরণ এবং প্রয়োগমূলক পদক্ষেপে সবচেয়ে বেশি উদ্ধৃত কৌশল।

অডিও ফিঙ্গারপ্রিন্টিং

AudioContext API গ্রাফিক্সের মতো একই ধরনের হার্ডওয়্যার-এন্ড-সফ্টওয়্যার পাইপলাইনের মাধ্যমে অডিও সংকেত প্রক্রিয়া করে, এবং ফলস্বরূপ আউটপুট এমনভাবে পরিবর্তিত হয় যা এন্ট্রপি তৈরি করে। একটি পরিচিত অসিলেটর একটি কম্প্রেসারের মাধ্যমে চালানো এবং ফলাফল হ্যাশ করা একটি স্থিতিশীল প্রতি-ডিভাইস শনাক্তকারী তৈরি করে।

ফন্ট গণনা

বিভিন্ন অপারেটিং সিস্টেম এবং ব্যবহারকারী প্রোফাইলে ইনস্টল করা ফন্টের বিভিন্ন সেট রয়েছে। ফন্টের উপস্থিতি বা অনুপস্থিতির জন্য তদন্ত করা — প্রার্থী ফন্টের তালিকার জন্য টেক্সট মেট্রিক্স পরিমাপ করে — এমন একটি শনাক্তকারী তৈরি করে যা তাদের ফন্ট সেট কাস্টমাইজ করা ব্যবহারকারীদের জন্য বিশেষভাবে পার্থক্যকারী।

WebGL ফিঙ্গারপ্রিন্টিং

WebGL GPU ক্ষমতা এবং রেন্ডারিং আচরণ প্রকাশ করে। বিক্রেতা স্ট্রিং, রেন্ডারার স্ট্রিং এবং একটি স্থির দৃশ্যের রেন্ডারিংয়ের সমন্বয় আরেকটি উচ্চ-এন্ট্রপি শনাক্তকারী তৈরি করে।

নেটওয়ার্ক এবং ডিভাইস মেটাডেটা

সক্রিয় তদন্ত কৌশলগুলির বাইরে, ফিঙ্গারপ্রিন্টগুলি সাধারণত প্যাসিভ মেটাডেটা অন্তর্ভুক্ত করে: User-Agent স্ট্রিং, ভাষা পছন্দ, টাইমজোন, স্ক্রিন রেজোলিউশন, রঙের গভীরতা, উপলব্ধ মেমরি, উপলব্ধ প্রসেসর, ব্যাটারি অবস্থা এবং সংযোগ স্তরে TLS ফিঙ্গারপ্রিন্ট। প্রতিটি আইটেম নিজে থেকে এন্ট্রপি যোগ করে এবং অন্যদের সাথে গুণিতকভাবে একত্রিত হয়।

নিয়ন্ত্রকরা ফিঙ্গারপ্রিন্টিংকে কীভাবে দেখেন

আইনি বিশ্লেষণ সংক্ষেপে সহজবোধ্য কিন্তু অনুশীলনে আরও কঠিন। একজন ব্যবহারকারীকে সনাক্ত করে এমন ফিঙ্গারপ্রিন্টিং GDPR-এর সংজ্ঞার অধীনে ব্যক্তিগত ডেটা তৈরি করে, এবং একটি ডিভাইসে ইতিমধ্যে সংরক্ষিত তথ্য পড়া বা অ্যাক্সেস করা ePrivacy নির্দেশিকার Article 5(3) এর অধীনে পড়ে — কুকি নিয়ন্ত্রণকারী একই বিধান। Article 5(3) এবং GDPR উভয়ই অ-অপরিহার্য ট্র্যাকিংয়ের জন্য পূর্ব সম্মতি প্রয়োজন। যেখানে আইন কুকির বাইরে যায় তা হলো ePrivacy 5(3) "একজন গ্রাহক বা ব্যবহারকারীর টার্মিনাল সরঞ্জামে তথ্য সংরক্ষণ করা, বা ইতিমধ্যে সংরক্ষিত তথ্যে অ্যাক্সেস করা" কভার করে — ফিঙ্গারপ্রিন্টিং যে ডিভাইস-স্টেট তদন্তের উপর নির্ভর করে তা কভার করার জন্য যথেষ্ট বিস্তৃত ভাষা।

EDPB কুকি-বিহীন ট্র্যাকিংয়ে Article 5(3) প্রয়োগ সংক্রান্ত ২০২৩ নির্দেশিকায় এই ব্যাখ্যা নিশ্চিত করেছে, এবং CNIL সবচেয়ে আক্রমণাত্মক প্রয়োগকারী: ২০২৪ সালের বেশ কিছু জরিমানা সম্মতির আগে কাজ করা ফিঙ্গারপ্রিন্টিং লাইব্রেরিকে প্রাথমিক লঙ্ঘন হিসেবে উল্লেখ করেছে। ট্র্যাকিং বিষয়ক UK ICO-এর ২০২৪ বিবৃতি canvas, অডিও এবং অনুরূপ ফিঙ্গারপ্রিন্টগুলিকে কুকির সমতুল্য opt-in সম্মতি প্রয়োজন হিসেবে চিহ্নিত করতে আরও সরাসরি।

ধূসর এলাকা: জালিয়াতি প্রতিরোধ বনাম ট্র্যাকিং

সবচেয়ে বিতর্কিত ফিঙ্গারপ্রিন্টিং ব্যবহারের ক্ষেত্র হলো জালিয়াতি প্রতিরোধ। বট-সনাক্তকরণ, অ্যাকাউন্ট-টেকওভার রক্ষা এবং পেমেন্ট-জালিয়াতি স্ক্রিনিং সবই মূল সংকেত হিসেবে ডিভাইস ফিঙ্গারপ্রিন্টিংয়ের উপর নির্ভর করে। নিয়ন্ত্রকরা স্বীকার করেছেন যে এই প্রক্রিয়াকরণের কিছু সম্মতির পরিবর্তে বৈধ স্বার্থের অধীনে ন্যায্যতা পেতে পারে — কিন্তু বার উঁচু এবং সুযোগ সংকীর্ণ। CNIL-এর অবস্থান, যা অন্যান্য DPA দ্বারা প্রতিধ্বনিত হয়েছে, হলো যে:

• ফার্স্ট-পার্টি সম্পত্তিতে কঠোরভাবে প্রয়োজনীয় জালিয়াতি প্রতিরোধ বৈধ স্বার্থের অধীনে চলতে পারে, একটি বৈধ স্বার্থ মূল্যায়নে (LIA) যথাযথ ডকুমেন্টেশন সহ।
• একই ফিঙ্গারপ্রিন্টের আচরণগত বা বিজ্ঞাপন ব্যবহার সম্মতি প্রয়োজন এবং জালিয়াতি-প্রতিরোধ ভিত্তিতে নির্ভর করতে পারে না।
• যেকোনো উদ্দেশ্যে তৃতীয় পক্ষের সাথে ফিঙ্গারপ্রিন্ট ভাগ করা সাধারণত বৈধ স্বার্থ সুযোগের বাইরে পড়ে এবং সম্মতি প্রয়োজন।
• তাৎক্ষণিক জালিয়াতি পরীক্ষার বাইরে ফিঙ্গারপ্রিন্টের স্থায়ী সংরক্ষণ সাধারণত হয় সম্মতি বা খুব কঠোরভাবে খসড়া করা বৈধ স্বার্থ অবস্থান প্রয়োজন।

ব্যবহারিক প্রভাব হলো যে একজন প্রকাশক যিনি জালিয়াতি-প্রতিরোধ ফিঙ্গারপ্রিন্টিং এবং বিজ্ঞাপন-প্রযুক্তি ফিঙ্গারপ্রিন্টিং উভয়ই চালাচ্ছেন উভয়কে কভার করতে জালিয়াতি ভিত্তিতে নির্ভর করতে পারবেন না। দুটি প্রবাহ আর্কিটেকচারালভাবে আলাদা হতে হবে, বিজ্ঞাপন-প্রযুক্তি প্রবাহ সম্মতির পিছনে গেটেড এবং জালিয়াতি-প্রতিরোধ প্রবাহ এর ডকুমেন্টেড উদ্দেশ্যে সীমাবদ্ধ।

CMP-তে ফিঙ্গারপ্রিন্টিং কীভাবে পরিচালনা করবেন

ফিঙ্গারপ্রিন্টিংয়ের ইন্টিগ্রেশন প্যাটার্ন অন্যান্য ট্র্যাকিং কৌশলের মতো কিন্তু অতিরিক্ত যত্ন সহ কারণ স্পষ্ট স্টোরেজের অনুপস্থিতি সম্মতির সীমানা মিস করা সহজ করে তোলে।

১. ফিঙ্গারপ্রিন্টিং পৃষ্ঠের তালিকা তৈরি করুন

canvas toDataURL() কল করে, AudioContext-ভিত্তিক প্রক্রিয়াকরণ, টেক্সট-মেট্রিক পরিমাপের মাধ্যমে ফন্ট তদন্ত বা WebGL রেন্ডারার কোয়েরি করে এমন যেকোনো স্ক্রিপ্টের জন্য সাইট অডিট করুন। এই কলগুলি প্রায়শই তৃতীয় পক্ষের লাইব্রেরিতে লুকানো থাকে — বিজ্ঞাপন-প্রযুক্তি SDK, অ্যান্টি-ফ্রড বিক্রেতা, A/B পরীক্ষার সরঞ্জাম — এবং অবিলম্বে দৃশ্যমান নয়।

২. প্রতিটি ফিঙ্গারপ্রিন্টিং ব্যবহার শ্রেণীবদ্ধ করুন

প্রতিটি লাইব্রেরির জন্য যা ফিঙ্গারপ্রিন্ট করে, ডকুমেন্ট করুন এটি (a) সাইটটি কার্যকরী করার জন্য কঠোরভাবে প্রয়োজনীয়, (b) বৈধ স্বার্থের অধীনে একটি জালিয়াতি-প্রতিরোধ ব্যবস্থা, বা (c) ট্র্যাকিং, বিশ্লেষণ বা বিজ্ঞাপনের জন্য। বিভাগ (a) এবং (b) ডকুমেন্টেড ভিত্তিতে স্পষ্ট সম্মতি ছাড়াই এগিয়ে যেতে পারে; বিভাগ (c) opt-in প্রয়োজন।

৩. ট্র্যাকিং-উদ্দেশ্য ফিঙ্গারপ্রিন্টিং গেট করুন

বিভাগ (c) এর অধীনে লাইব্রেরিগুলির জন্য, CMP-কে তাদের মার্কেটিং কুকির মতো একইভাবে ব্যবহার করা উচিত: স্ক্রিপ্টটি DOM-এ রয়েছে কিন্তু দর্শক মার্কেটিং বিভাগ গ্রহণ না করা পর্যন্ত নিষ্ক্রিয়। বেশিরভাগ আধুনিক CMP ইতিমধ্যে স্ট্যান্ডার্ড type="text/plain" + ক্যাটাগরি-অ্যাট্রিবিউট প্যাটার্নের মাধ্যমে এটি সমর্থন করে।

৪. জালিয়াতি-প্রতিরোধ ফিঙ্গারপ্রিন্টিংয়ের জন্য বৈধ স্বার্থ ভিত্তি ডকুমেন্ট করুন

যেখানে ফিঙ্গারপ্রিন্টিং বৈধ স্বার্থের অধীনে এগিয়ে যায়, LIA অবশ্যই নির্দিষ্ট, বর্তমান এবং প্রকৃত প্রক্রিয়াকরণ সুযোগ প্রতিফলিত করতে হবে। জেনেরিক "জালিয়াতি প্রতিরোধ" যথেষ্ট নয় — LIA-কে কী ডেটা প্রক্রিয়া করা হয়, কতদিন রাখা হয়, কোন সুরক্ষা প্রযোজ্য এবং ব্যবহারকারীর বাস্তবসম্মত প্রত্যাশা কী তা সনাক্ত করতে হবে।

৫. বৈধ স্বার্থ প্রবাহের জন্য অর্থবহ opt-out প্রদান করুন

এমনকি যেখানে জালিয়াতি-প্রতিরোধ ফিঙ্গারপ্রিন্টিং সম্মতি ছাড়াই এগিয়ে যায়, GDPR-এর Article 21 ব্যবহারকারীকে বৈধ স্বার্থ প্রক্রিয়াকরণে আপত্তি করার অধিকার দেয়। CMP-কে অবশ্যই এই অধিকারটি প্রদর্শন করতে হবে, এবং প্রযুক্তিগত বাস্তবায়ন অবশ্যই অধিকার প্রয়োগ করার সময় প্রকৃতপক্ষে ফিঙ্গারপ্রিন্টিং বন্ধ করতে হবে — শুধু আপত্তি রেকর্ড করার সময় ফিঙ্গারপ্রিন্টিং চালিয়ে যাওয়া নয়।

অডিট চেকলিস্ট

সম্ভাব্য ফিঙ্গারপ্রিন্টিং পৃষ্ঠ প্রকাশকারী যেকোনো সাইটের জন্য উত্তর দেওয়ার ছয়টি কংক্রিট প্রশ্ন।

১. তালিকার সম্পূর্ণতা

নিরাপত্তা দল কি canvas, অডিও, ফন্ট, WebGL বা ডিভাইস-মেটাডেটা তদন্ত পরিচালনা করে এমন প্রতিটি লাইব্রেরির বর্তমান তালিকা তৈরি করেছে? যদি উত্তর হয় "আমরা নিশ্চিত নই", অডিট এগিয়ে যেতে পারে না।

২. ভিত্তি শ্রেণীবিভাগ

প্রতিটি লাইব্রেরির জন্য, একটি ডকুমেন্টেড আইনি ভিত্তি আছে কি (সম্মতি, LIA সহ বৈধ স্বার্থ, চুক্তিগত প্রয়োজনীয়তা)? অডোকুমেন্টেড ভিত্তি জবাবদিহিতার অধীনে বাস্তবে অনুপস্থিত।

৩. সম্মতি গেটিং

ট্র্যাকিং-উদ্দেশ্য ফিঙ্গারপ্রিন্টিং লাইব্রেরিগুলি মার্কেটিং সম্মতি বিভাগের পিছনে গেটেড আছে কি, স্ক্রিপ্টটি গ্রহণের আগে চালানো অক্ষম হয়ে?

৪. LIA তাজা

বৈধ স্বার্থ মূল্যায়নগুলি শেষ ১২ মাসের মধ্যে তারিখযুক্ত, এবং পুরনো বিবরণের পরিবর্তে প্রকৃত বর্তমান প্রক্রিয়াকরণ সুযোগ প্রতিফলিত করে?

৫. Opt-out প্রয়োগ

যখন একজন ব্যবহারকারী Article 21 প্রয়োগ করেন, সিস্টেমটি কি প্রকৃতপক্ষে বৈধ-স্বার্থ ফিঙ্গারপ্রিন্টিং বন্ধ করে, নাকি শুধুমাত্র আপত্তি রেকর্ড করে?

৬. ক্রস-ভেন্ডর পরিষ্কার

যদি একটি ফিঙ্গারপ্রিন্ট একটি তৃতীয় পক্ষের সাথে (একটি বিজ্ঞাপন নেটওয়ার্ক, একটি অ্যাট্রিবিউশন প্রদানকারী, একটি পরিচয় বিক্রেতা) ভাগ করা হয়, সেই ভাগ করাটি একটি পৃথক সম্মতি দ্বারা কভার করা এবং গোপনীয়তা বিজ্ঞপ্তিতে প্রকাশিত?

ট্র্যাকিংয়ের ভবিষ্যতে ফিঙ্গারপ্রিন্টিং কোথায় দাঁড়ায়

ব্রাউজার বিক্রেতারা ফিঙ্গারপ্রিন্টিং লাইব্রেরিতে উপলব্ধ এন্ট্রপি কমাতে সক্রিয়ভাবে কাজ করছেন। Apple ITP, Firefox-এর বিল্ট-ইন সুরক্ষা এবং Google Privacy Sandbox প্রস্তাবগুলি সবই অন্তর্নিহিত পৃষ্ঠকে ক্ষয় করে। তবে এই হস্তক্ষেপগুলির কোনোটিই নিয়ন্ত্রক সমস্যা দূর করে না — এমনকি হ্রাসিত এন্ট্রপি সহ একটি ফিঙ্গারপ্রিন্টও ব্যক্তিগত ডেটা হিসেবে থাকে যখন এটি একজন ব্যবহারকারীকে সনাক্ত করতে সফল হয়, এবং সাফল্যের হার কমানো যখন কাজ করে তখন আইনি বিশ্লেষণ পরিবর্তন করে না। প্রকাশকদের জন্য, নিরাপদ অনুমান হলো যে ফিঙ্গারপ্রিন্টিং পরবর্তী ২৪ মাসে একটি বাস্তব, অডিট-প্রাসঙ্গিক কৌশল হিসেবে অব্যাহত থাকবে, নিয়ন্ত্রকরা সম্মতির উদ্দেশ্যে এটিকে কুকির সমতুল্য হিসেবে দেখতে অব্যাহত রাখবেন, এবং সঠিক অপারেশনাল উত্তর হলো ফিঙ্গারপ্রিন্টিংকে অন্য যেকোনো ট্র্যাকিং পৃষ্ঠের মতো ব্যবহার করা: তালিকাভুক্ত, উদ্দেশ্য অনুযায়ী শ্রেণীবদ্ধ, প্রয়োজনে সম্মতি দ্বারা গেটেড, এবং অন্য ভিত্তিতে এগিয়ে যাওয়ার সময় পুঙ্খানুপুঙ্খভাবে ডকুমেন্ট করা।