La falsa idea de evitar el fingerprinting al desactivar JavaScript
La privacidad en línea es una preocupación constante y muchas personas desactivan JavaScript pensando que así evitarán el seguimiento. Sin embargo, una reciente demostración del investigador Sergey Mostsevenko desmintió esa idea.
Aunque JavaScript esté desactivado, la huella digital de su dispositivo todavía puede rastrearse a partir de distintos datos que este transmite.
¿Qué es la huella digital del navegador?
El fingerprinting permite seguir e identificar a quienes navegan por internet sin usar cookies. Para crear identificadores únicos, utiliza características del dispositivo, como la configuración de idioma y las fuentes instaladas. Estos identificadores siguen funcionando incluso cuando el navegador está en modo incógnito.
JavaScript no es el único responsable
Se suele pensar que desactivar JavaScript protege contra el fingerprinting. Esa idea es equivocada: el navegador puede seguir siendo identificado aunque JavaScript esté desactivado.
¿Cómo funciona el fingerprinting sin JavaScript?
El proceso de fingerprinting sin JavaScript hace que su navegador envíe automáticamente solicitudes HTTP al servidor. El servidor extrae y almacena datos relevantes de esas solicitudes. Estos datos se mantienen consistentes en distintos sitios web y permiten identificar y seguir su dispositivo de manera confiable a lo largo del tiempo.
Fuentes de datos
- Dirección IP: Aunque la demostración no utiliza direcciones IP, suelen ser únicas, pero pueden cambiar en determinadas circunstancias, por ejemplo, al pasar de Wi-Fi a datos móviles.
- Encabezados HTTP: Incluyen metadatos que facilitan la comunicación entre navegadores y servidores. Algunos contienen información sobre la configuración del navegador que puede servir para identificarlo.
- Accept - El encabezado HTTP Accept informa a los servidores qué tipos de archivo admite el navegador.
- Accept-Language - Este encabezado indica los idiomas preferidos del cliente.
- Accept-Encoding - Este encabezado indica qué métodos de codificación del contenido, como los algoritmos de compresión, entiende el navegador.
- User-Agent: Incluye información sobre la versión del navegador y el sistema operativo. Sin embargo, se considera inestable y no se utiliza en la demostración.
- CSS: La demostración utiliza el motor CSS del navegador para recopilar datos. El código CSS determina si se envía una solicitud HTTP según distintos parámetros.
- Fuentes: La presencia o ausencia de determinadas fuentes en el dispositivo de una persona puede utilizarse para identificarlo.
Conclusión
Desactivar JavaScript no protege contra el fingerprinting, ya que los navegadores todavía pueden revelar muchos datos. Confiar en este método puede afectar la experiencia de navegación. Para quienes se preocupan mucho por la privacidad, los navegadores especiales como Tor, que garantizan el anonimato y una huella digital uniforme para todos sus usuarios, quizá sean la única opción viable.
Preguntas frecuentes
¿Un desajuste en la huella digital del navegador debería bloquear una solicitud de crédito?
No rechace una solicitud solo porque no coincida la huella digital. Considérelo un motivo para revisar otros datos, como la información de la solicitud o la actividad confirmada de la cuenta, y opte por una revisión o una verificación si la información no es concluyente. La huella puede cambiar cuando una persona modifica la configuración del navegador o cambia de dispositivo. Por eso, un bloqueo automático podría rechazar solicitudes legítimas.
¿Cómo conviene tratar un dispositivo que usan varias personas solicitantes?
Considere el uso compartido de un dispositivo como un motivo para revisar la solicitud, no como prueba de que las personas solicitantes son la misma persona. Esto puede ocurrir en hogares, bibliotecas y situaciones en las que alguien recibe ayuda para completar una solicitud, donde personas sin relación entre sí pueden usar el mismo dispositivo o la misma red. Mantenga por separado los vínculos entre dispositivos y los datos de identidad, y verifique si hay conexiones independientes antes de restringir una solicitud.
