Tracking, cookie e fingerprinting

I siti web utilizzano diversi meccanismi per tracciare gli utenti tra sessioni e siti: cookie, archiviazione locale, pixel di tracciamento e fingerprinting del browser. Questi dati vengono utilizzati per la pubblicità, l'analisi e talvolta la profilazione dannosa.

I cookie di prima parte sono impostati dal sito web che sta visitando. Memorizzano lo stato della sessione, le preferenze e i token di autenticazione. In genere sono necessari per il funzionamento dei siti web e sono considerati accettabili.

I cookie di terze parti sono impostati da domini diversi da quello che sta visitando — in genere reti pubblicitarie, provider di analisi o widget dei social media. Tracciano le sue attività su ogni sito che include le loro risorse.

I principali browser stanno eliminando gradualmente i cookie di terze parti.

Importanti attributi di sicurezza dei cookie:

• HttpOnly — impedisce l'accesso da parte di JavaScript (anti-XSS)
• Secure — viene inviato solo tramite HTTPS
• SameSite=Strict/Lax — previene gli attacchi CSRF
• Max-Age/Expires — limita la durata della sessione

Un pixel di tracciamento è un'immagine trasparente 1x1 incorporata nelle email o nelle pagine web. Quando viene caricata, invia al tracker l'indirizzo IP dell'utente e l'ora di caricamento. I client di posta elettronica che caricano automaticamente le immagini rivelano quando le email vengono aperte e da dove.

Le API web come localStorage e sessionStorage consentono ai siti di memorizzare dati nel browser. A differenza dei cookie, questi dati non vengono inviati automaticamente al server e possono contenere una quantità maggiore di informazioni. Persistono anche dopo la chiusura del browser (localStorage), finché non vengono cancellati esplicitamente.

Il fingerprinting del browser identifica gli utenti senza cookie combinando caratteristiche univoche del browser:

• Stringa User-agent
• Risoluzione dello schermo e profondità del colore
• Font e plugin installati
• Output del rendering di Canvas e WebGL
• Impostazioni di fuso orario e lingua

Ogni combinazione è altamente univoca — spesso più affidabile dei cookie.

Il fingerprinting tramite canvas disegna elementi grafici nascosti in un elemento canvas HTML. Combinazioni diverse di GPU e driver eseguono il rendering del testo in modo leggermente diverso. L'hash dei dati dei pixel identifica univocamente il dispositivo senza impostare cookie.

Misure anti-tracciamento:

• Utilizzi Firefox con Enhanced Tracking Protection
• uBlock Origin con liste di blocco dei tracker
• Privacy Badger per un blocco basato sull'apprendimento
• Tor Browser per il massimo anonimato
• Disabiliti JavaScript sui siti sensibili (blocca il fingerprinting)

Tor Browser standardizza tutti i valori usati per il fingerprinting tra gli utenti: tutti appaiono uguali. Inoltre instrada il traffico attraverso tre nodi, nascondendo il suo IP. Svantaggi: una significativa riduzione delle prestazioni e il fatto che alcuni siti blocchino i nodi di uscita di Tor.

Il GDPR (UE) e la ePrivacy Directive impongono di ottenere il consenso prima di installare cookie non essenziali. I banner dei cookie sono il risultato di questo requisito. Nonostante i banner, l'applicazione delle norme è incoerente e molti siti utilizzano dark pattern per spingere gli utenti ad accettare tutti i cookie.

Quale tecnica identifica gli utenti combinando proprietà univoche del browser, come l'output del rendering della GPU e i font installati, senza impostare cookie?

I siti web tracciano gli utenti tramite cookie di prima e di terze parti, pixel di tracciamento, localStorage e fingerprinting del browser. Il fingerprinting è particolarmente persistente: non richiede cookie e sopravvive alla cancellazione della cache. Le difese includono ETP (Firefox), uBlock Origin, Privacy Badger e Tor Browser per esigenze di elevata privacy.