מהי טביעת אצבע של הדפדפן

טביעת אצבע של דפדפן היא מזהה בעל אנטרופיה גבוהה שנבנה מתכונות שהדפדפן חושף לכל JavaScript הפועל. הטכניקות הבסיסיות מתחלקות למספר משפחות, כל אחת מוסיפה אנטרופיה לטביעת האצבע המשולבת.

טביעת אצבע של canvas

האלמנט HTML5 canvas מרנדר גרפיקה בדרכים מעט שונות בהתאם ל-GPU הבסיסי, הדרייבר, מערכת ההפעלה ותת-מערכת הגופנים. ציור מחרוזת קבועה עם גופן ספציפי, ולאחר מכן גיבוב של נתוני הפיקסלים שהתקבלו, מייצר מזהה שמשתנה בין מכשירים אך יציב בין סשנים על אותו מכשיר. טביעת אצבע של canvas היא הדוגמה הקנונית והטכניקה המצוטטת ביותר בפעולות אכיפה.

טביעת אצבע של שמע

ה-AudioContext API מעבד אותות שמע דרך אותו סוג של צינור חומרה-ותוכנה כמו גרפיקה, והפלט שמתקבל משתנה באופן שיוצר אנטרופיה. הפעלת אוסצילטור ידוע דרך קומפרסור וגיבוב התוצאה מייצרת מזהה יציב לכל מכשיר.

ספירת גופנים

למערכות הפעלה שונות ופרופילי משתמש שונים יש ערכות גופנים שונות מותקנות. בדיקת נוכחות או היעדרות של גופנים — על ידי מדידת מדדי טקסט עבור רשימת גופנים מועמדים — מייצרת מזהה שמבחין במיוחד עבור משתמשים שהתאימו אישית את ערכת הגופנים שלהם.

טביעת אצבע של WebGL

WebGL חושף יכולות GPU והתנהגות רינדור. השילוב של מחרוזת הספק, מחרוזת הרנדרר ורינדור של סצנה קבועה מייצר מזהה נוסף בעל אנטרופיה גבוהה.

מטא-נתוני רשת ומכשיר

מעבר לטכניקות הבדיקה הפעילות, טביעות האצבע כוללות בדרך כלל מטא-נתונים פסיביים: מחרוזת User-Agent, העדפות שפה, אזור זמן, רזולוציית מסך, עומק צבע, זיכרון זמין, מעבדים זמינים, מצב סוללה וטביעת אצבע TLS בשכבת החיבור. כל פריט מוסיף אנטרופיה בפני עצמו ומשתלב בצורה מכפלתית עם האחרים.

כיצד רגולטורים מתייחסים לטביעת אצבע

הניתוח המשפטי פשוט בקווים כלליים אך קשה יותר בפועל. טביעת אצבע המזהה משתמש מייצרת נתונים אישיים לפי הגדרת ה-GDPR, וקריאה או גישה למידע שכבר מאוחסן במכשיר נכנסת לסעיף Article 5(3) של הנחיית ePrivacy — אותו סעיף שמסדיר עוגיות. גם Article 5(3) וגם ה-GDPR דורשים הסכמה מוקדמת למעקב שאינו חיוני. המקום שבו החוק עובר מעבר לעוגיות הוא שסעיף ePrivacy 5(3) מכסה "אחסון מידע, או קבלת גישה למידע שכבר מאוחסן, בציוד הקצה של מנוי או משתמש" — שפה רחבה מספיק לכסות את בדיקת מצב המכשיר שטביעת האצבע מסתמכת עליה.

ה-EDPB אישר קריאה זו בהנחיותיו משנת 2023 על יישום Article 5(3) למעקב שאינו עוגיות, וה-CNIL היה האכוף האגרסיבי ביותר: מספר קנסות ב-2024 ציינו ספריות טביעת אצבע הפועלות לפני הסכמה כהפרה עיקרית. הצהרת ה-ICO הבריטי בנושא מעקב משנת 2024 אף ישירה יותר בהצגת canvas, שמע וטביעות אצבע דומות כדורשות הסכמה אופט-אין על בסיס שווה עם עוגיות.

האזור האפור: מניעת הונאה לעומת מעקב

מקרה השימוש הנוי ביותר בטביעת אצבע הוא מניעת הונאה. זיהוי בוטים, הגנה מפני השתלטות על חשבון ובדיקת הונאת תשלום מסתמכים כולם על טביעת אצבע של מכשיר כאות מרכזי. רגולטורים הכירו בכך שחלק מעיבוד זה יכול להיות מוצדק תחת עניין לגיטימי ולא הסכמה — אבל הרף גבוה והיקף צר. עמדת ה-CNIL, שהושמעה על ידי רשויות הגנת נתונים אחרות, היא כי:

• מניעת הונאה הנדרשת בהחלט בנכסים של הצד הראשון עשויה להמשיך תחת עניין לגיטימי, עם תיעוד מתאים בהערכת עניין לגיטימי (LIA).
• שימוש התנהגותי או פרסומי באותה טביעת אצבע דורש הסכמה ואינו יכול להסתמך על בסיס מניעת ההונאה.
• שיתוף טביעת האצבע עם צדדים שלישיים לכל מטרה בדרך כלל נופל מחוץ להיקף העניין הלגיטימי ודורש הסכמה.
• אחסון מתמשך של טביעת האצבע מעבר לבדיקת ההונאה המיידית דורש בדרך כלל הסכמה או עמדת עניין לגיטימי מנוסחת היטב.

ההשלכה המעשית היא שבעל אתר שמפעיל גם טביעת אצבע למניעת הונאה וגם טביעת אצבע לטכנולוגיית פרסום אינו יכול להסתמך על בסיס ההונאה לכסות את שניהם. שתי הזרימות חייבות להיות נפרדות ארכיטקטורית, עם זרימת טכנולוגיית הפרסום מאחורי שער הסכמה וזרימת מניעת ההונאה מוגבלת למטרתה המתועדת.

כיצד לטפל בטביעת אצבע ב-CMP

דפוס האינטגרציה לטביעת אצבע דומה לטכניקות מעקב אחרות אך עם טיפול נוסף מכיוון שהיעדר אחסון ברור מקל על החמצת גבול ההסכמה.

1. ביצוע מלאי של משטח טביעת האצבע

בדוק באתר כל סקריפט שקורא ל-canvas toDataURL(), עיבוד מבוסס AudioContext, בדיקת גופנים דרך מדידת מדדי טקסט, או שאילתות רנדרר WebGL. קריאות אלה לעתים קרובות קבורות בספריות צד שלישי — SDK-ים של טכנולוגיית פרסום, ספקי אנטי-הונאה, כלי בדיקת A/B — ואינן גלויות מיד.

2. סיווג כל שימוש בטביעת אצבע

לכל ספרייה שמבצעת טביעת אצבע, תעד האם היא (א) הכרחית בהחלט לתפקוד האתר, (ב) אמצעי מניעת הונאה תחת עניין לגיטימי, או (ג) למטרות מעקב, אנליטיקה או פרסום. קטגוריות (א) ו-(ב) עשויות להמשיך ללא הסכמה מפורשת תחת בסיסים מתועדים; קטגוריה (ג) דורשת אופט-אין.

3. שיער את טביעת האצבע למטרת מעקב

לספריות הנכנסות לקטגוריה (ג), ה-CMP צריך לטפל בהן זהה לעוגיות שיווק: הסקריפט נמצא ב-DOM אך אינרטי עד שהמבקר מקבל את קטגוריית השיווק. רוב ה-CMP המודרניים כבר תומכים בכך דרך תבנית type="text/plain" + מאפיין-קטגוריה הסטנדרטית.

4. תיעוד בסיס העניין הלגיטימי לטביעת אצבע למניעת הונאה

כאשר טביעת אצבע ממשיכה תחת עניין לגיטימי, ה-LIA חייב להיות ספציפי, עדכני ולשקף את היקף העיבוד בפועל. "מניעת הונאה" גנרית אינה מספיקה — ה-LIA צריך לזהות אילו נתונים מעובדים, כמה זמן הם נשמרים, אילו הגנות חלות, ומה ציפיות המשתמש הריאליות.

5. מתן אפשרות אופט-אאוט משמעותית לזרימות עניין לגיטימי

גם כאשר טביעת אצבע למניעת הונאה ממשיכה ללא הסכמה, Article 21 של ה-GDPR מעניק למשתמש את הזכות להתנגד לעיבוד עניין לגיטימי. ה-CMP חייב לחשוף זכות זו, והיישום הטכני חייב למעשה לעצור את טביעת האצבע כאשר הזכות מופעלת — לא רק לרשום את ההתנגדות תוך המשך טביעת האצבע.

רשימת בדיקה לביקורת

שש שאלות קונקרטיות לענות עליהן עבור כל אתר שעלול לחשוף משטחי טביעת אצבע.

1. שלמות המלאי

האם צוות האבטחה הפיק רשימה עדכנית של כל ספרייה שמבצעת בדיקת canvas, שמע, גופנים, WebGL או מטא-נתוני מכשיר? אם התשובה היא "אנחנו לא בטוחים", הביקורת אינה יכולה להמשיך.

2. סיווג הבסיס

לכל ספרייה, האם יש בסיס חוקי מתועד (הסכמה, עניין לגיטימי עם LIA, הכרח חוזי)? בסיסים לא מתועדים הם בפועל נעדרים תחת אחריות.

3. שיעור הסכמה

האם ספריות טביעת אצבע למטרת מעקב מאחורי שער קטגוריית הסכמת השיווק, עם הסקריפט שאינו מסוגל לרוץ לפני קבלה?

4. רעננות LIA

האם הערכות העניין הלגיטימי מתוארכות בתוך 12 החודשים האחרונים, והאם הן משקפות את היקף העיבוד הנוכחי בפועל ולא תיאורים ישנים?

5. אכיפת אופט-אאוט

כאשר משתמש מפעיל Article 21, האם המערכת אכן עוצרת את טביעת האצבע בעניין לגיטימי, או רק רושמת את ההתנגדות?

6. ניקוי בין-ספקים

אם טביעת אצבע משותפת עם צד שלישי (רשת פרסום, ספק שיוך, ספק זהות), האם שיתוף זה מכוסה בהסכמה נפרדת ומוצהר בהודעת הפרטיות?

היכן שטביעת האצבע יושבת בעתיד המעקב

ספקי דפדפנים עובדים באופן פעיל לצמצום האנטרופיה הזמינה לספריות טביעת אצבע. Apple ITP, ההגנה המובנית של Firefox, והצעות Google Privacy Sandbox מכרסמות כולן במשטח הבסיסי. אף אחת מהתערבויות הללו אינה מסירה את הבעיה הרגולטורית, עם זאת — אפילו טביעת אצבע עם אנטרופיה מצומצמת עדיין נתונים אישיים כאשר היא מצליחה לזהות משתמש, וצמצום שיעור ההצלחה אינו משנה את הניתוח המשפטי כאשר היא עובדת. עבור בעלי אתרים, ההנחה הבטוחה יותר היא שטביעת האצבע תמשיך להיות טכניקה אמיתית ורלוונטית לביקורת ב-24 החודשים הבאים, שרגולטורים ימשיכו לראות אותה כשווה לעוגיות למטרות הסכמה, ושהתשובה התפעולית הנכונה היא לטפל בטביעת האצבע כמו כל משטח מעקב אחר: ממוין, מסווג לפי מטרה, מאחורי שער הסכמה כאשר נדרש, ומתועד היטב כאשר הוא ממשיך תחת בסיס אחר.