ブラウザフィンガープリントとは？Cookieなしでも識別できる仕組み

Webサイトによる識別や追跡の仕組みはCookieだけではありません。ブラウザフィンガープリントは、ブラウザや端末から確認できる複数の特徴を組み合わせ、特定のブラウザや端末を識別・再識別しようとする方法です。

フィンガープリントの意味

実際の指紋を読み取るわけではありません。MDNは、ブラウザのバージョン、タイムゾーン、言語、コーデック、フォント、設定、画面サイズなどを組み合わせることで、ブラウザを識別し、Web上の追跡に使える場合があると説明しています。

一つの情報だけでは多くの人が同じでも、複数を重ねると比較的珍しい組み合わせになることがあります。

Cookieとの違い

Cookie

Webサイトがブラウザへ小さなデータを保存します。ログイン状態、設定、買い物かご、アクセス解析などに使われ、保存された識別子で訪問を関連付けられます。

ブラウザフィンガープリント

ブラウザや端末からその時点で観測できる特徴を集め、組み合わせから識別を試みます。専用の識別Cookieを保存しなくても利用できる場合があります。

W3Cは、設定値やその他の観測可能な特徴を使って、利用者、ユーザーエージェント、端末を識別または再識別する能力として説明しています。

Cookieを削除しても識別される？

可能性があります。Cookieを削除すればCookieによる識別やログイン状態をリセットできますが、OS、ブラウザ、画面、言語、タイムゾーンなどは自動的に変わりません。

同じ特徴を再取得できれば、以前と同じブラウザではないかと推定される場合があります。Cookie追跡とフィンガープリントは別の仕組みなので、それぞれに対策が必要です。

どんな情報が使われる？

• ブラウザとOSの種類・バージョン
• 画面サイズ、解像度、ウィンドウサイズ
• 言語、地域、タイムゾーン
• 利用可能なフォントやコーデック
• ブラウザ設定や対応するWeb機能
• GPUや描画処理の特徴
• ライト・ダークモードなどの設定
• IPアドレスやネットワーク情報

一つの値だけで本人を特定するのではなく、多数の特徴を組み合わせます。

Canvasフィンガープリンティング

Canvasはブラウザ上で画像を描く機能です。同じ命令でも、OS、GPU、ドライバー、フォントなどにより結果へ小さな差が出る場合があります。その結果を読み取り、ほかの情報と組み合わせる方法です。

WebGLの描画やWeb Audioの処理結果も特徴となる可能性があります。ブラウザ側では、取得可能な情報を減らしたり、結果へノイズを加えたりする対策があります。

本名まで分かる？

通常、フィンガープリント自体に氏名やメールアドレスは含まれません。「この特徴を持つブラウザ」という手掛かりです。

ただし、そのブラウザでログインしたり個人情報を入力したりすると、フィンガープリントと本人情報が関連付けられる可能性があります。ログイン前でも複数の訪問を結び付け、行動履歴を作る目的に使われる場合があります。

何に使われる？

セキュリティと不正対策

普段と大きく異なる端末からのログイン、大量登録、不正決済などを検知する材料に使われることがあります。

解析や広告

訪問を関連付けて利用傾向を分析したり、広告配信に利用したりする可能性があります。複数サイトで同じ第三者スクリプトが動けば、サイトをまたぐ関連付けに使われる場合もあります。

重要なのは、収集情報、目的、保存期間、第三者提供、利用者が拒否・削除できるかです。

シークレットモードやVPNなら防げる？

シークレットモードは履歴、Cookie、サイトデータを端末へ残しにくくしますが、画面サイズやOSなどが別物になるわけではありません。完全な匿名化機能ではありません。

VPNは通信経路を保護し、接続先から見えるIPアドレスを変えるのに役立ちますが、ブラウザや端末の特徴までは変えません。どちらも役割はありますが、単独で完全に防ぐものではありません。

ブラウザによる対策

• 不要な情報を取得できなくする
• 値の精度を下げる
• 多くの利用者へ同じ値を返す
• サイトごとに値を変える
• 描画や音声処理の結果へノイズを加える
• サードパーティ追跡を制限する

W3Cは、技術だけで完全に排除するのは現実的でないとしつつ、取得可能な特徴を減らす緩和策を示しています。

特殊な設定ほど安全？

必ずしもそうではありません。珍しいフォント、拡張機能、画面設定などは、その珍しさ自体が特徴になる可能性があります。

JavaScriptの無効化は多くのサイトを壊し、すべての情報を隠すわけでもありません。一般利用者は、極端な独自設定より、更新された主要ブラウザの標準的な保護を使う方が管理しやすいでしょう。

Cookie同意で拒否すれば防げる？

サイトの実装と説明によります。広告・分析目的の処理を拒否できる場合がありますが、端末情報が一切取得されないという意味ではありません。

プライバシーポリシーでは、Cookieだけでなく、端末情報、ブラウザ情報、IPアドレス、アクセス解析、広告識別、トラッキングも確認します。

利用者ができる現実的な対策

1. サポート中のブラウザを最新状態で使う
2. 標準の追跡防止とサードパーティCookie制限を確認する
3. 不要な拡張機能を削除する
4. Cookieとサイトデータも適切に管理する
5. 仕事用と個人用のプロフィールを分ける
6. 不要なサイトでログインしたままにしない
7. サービスのプライバシーポリシーを確認する

完全な匿名化を一つの設定で実現しようとせず、不要な追跡を減らす考え方が現実的です。

まとめ

ブラウザフィンガープリントは、ブラウザ、OS、画面、言語、フォント、描画結果などを組み合わせ、ブラウザを識別・再識別しようとする仕組みです。

Cookie削除、シークレットモード、VPNにはそれぞれ役割がありますが、万能ではありません。ブラウザを更新し、標準の追跡防止を使い、拡張機能を減らし、プライバシー説明を確認しましょう。