Je browser verraadt meer dan je denkt: zo werkt fingerprinting

Je opent een incognitovenster en surft wat rond. Je denkt dat je onherkenbaar bent voor websites en trackers (want: incognito), maar dat klopt helaas niet. Vanaf het moment dat je de eerste pagina opent, ben je al herkenbaar voor de site zelf én voor de trackers die op de achtergrond meedraaien. De techniek waarmee dat gebeurt heet browserfingerprinting. Het werkt ook zonder cookies, en zelfs zonder dat je ergens bent ingelogd. Trackers kijken naar tientallen kleine eigenschappen van je browser en computer en kunnen die combineren tot een uniek profiel waarmee jij herkenbaar bent tussen miljoenen andere gebruikers.

Elke keer dat je een website bezoekt, stuurt je browser automatisch allerlei informatie mee. Dat gebeurt zonder dat je daar iets voor hoeft in te vullen. Denk aan je schermresolutie, zoals 1440 bij 900 of 1920 bij 1080 pixels. Zo'n getal zegt op zichzelf nog niet zoveel. Maar tel daar je tijdzone, taalinstellingen en het type scherm bij op, en je browserprofiel wordt al snel een stuk herkenbaarder.

Ook je scherm kan iets verraden. Op een Retina-display van Apple zit er bijvoorbeeld verschil tussen de fysieke resolutie van het scherm en de resolutie die je browser doorgeeft. Die verhouding heet devicePixelRatio. Voor jou is dat een technisch detail, maar voor trackers is het een handig extra kenmerk. Het helpt om in te schatten met welk soort laptop, tablet of monitor je online bent.

Je tijdzone vertelt ook meer dan je misschien verwacht. Geeft je browser Europa/Amsterdam door, terwijl je IP-adres naar een VPN-server in New York wijst? Dan valt die tegenstelling op. Tijdzone en IP-adres passen dan niet bij elkaar, en juist dat maakt je profiel soms nog herkenbaarder. Ook wie op reis is en zijn tijdzone aanpast, laat een digitaal spoor achter. Niet alleen de nieuwe tijdzone telt mee, maar ook het feit dat de tijdzone überhaupt veranderd ís.

 Dit is het onderdeel dat veel mensen verrast. Websites kunnen via JavaScript controleren welke lettertypen op je computer staan, zonder dat je daar iets van merkt. Dat doen ze door onzichtbare tekst in allerlei fonts te tonen en daarna de afmetingen te meten. Elk lettertype geeft letters namelijk net een andere breedte en hoogte. Door die verschillen te vergelijken, kan een website vrij precies zien welke lettertypen jij hebt geïnstalleerd.

Dat zegt meer dan je misschien denkt. Windows heeft andere standaardfonts dan macOS, en programma's als Adobe Creative Cloud of Microsoft Office voegen daar vaak tientallen extra lettertypen aan toe. Zo ontstaat een combinatie die behoorlijk persoonlijk is. En omdat je fontlijst meestal niet elke week verandert, blijft dit een opvallend stabiel onderdeel van je digitale vingerafdruk.

Wie bijvoorbeeld uBlock Origin, Privacy Badger en een wachtwoordmanager gebruikt, heeft een ander browserprofiel dan iemand die deze extensies niet geïnstalleerd heeft. Sommige extensies blokkeren bepaalde netwerkverzoeken, en een website kan die blokkade zien. Andere injecteren JavaScript of CSS in pagina's, wat detecteerbaar is voor sites die daar actief naar zoeken.

De ironie is duidelijk: privacy-extensies maken je in sommige opzichten juist herkenbaarder. Toch is de afweging meestal simpel. Je hebt meer aan het blokkeren van trackers dan dat je nadeel hebt van de extra herkenbaarheid die zo'n extensie kan veroorzaken. Wie helemaal geen extensies gebruikt, is trouwens niet automatisch minder herkenbaar. Wel zit er verschil tussen tablets en laptops. Een standaardtablet lijkt vaak sterk op andere tablets van hetzelfde merk en type. Daardoor ga je meer 'op in de massa'. Bij laptops zorgen scherm, software, lettertypen en instellingen sneller voor een herkenbare combinatie.

Naast je schermresolutie, tijdzone, lettertypen en extensies geeft je browser nog veel meer informatie door. Denk aan het besturingssysteem waarop je werkt, de exacte browserversie, de hoeveelheid werkgeheugen, het aantal CPU-kernen en zelfs je Do Not Track-instelling. Vooral dat laatste is een bekend voorbeeld. Zet je Do Not Track aan, dan wil je juist minder gevolgd worden. Maar omdat niet heel veel mensen dat aanzetten, val je juist extra op …

Daar komen nog subtielere technieken bij. Bij canvas fingerprinting kijkt een website hoe jouw grafische kaart bepaalde vormen, lijnen en kleuren weergeeft. Audio fingerprinting doet iets vergelijkbaars, maar dan met je audiohardware. Zelfs de manier waarop je muis over een pagina beweegt, kan worden meegenomen. Los zeggen al die gegevens weinig, maar samen vormen ze een profiel dat in de praktijk uniek genoeg is om jou structureel te herkennen.

Onderzoek van INRIA (het Franse nationale instituut voor onderzoek naar digitale wetenschap en technologie) laat zien dat 94 procent van de browsergebruikers een unieke vingerafdruk heeft. Je kunt je eigen browserprofiel testen via coveryourtracks.eff.org.

Het lastige aan fingerprinting is dat simpelweg alles afschermen niet goed werkt. Als een website vraagt welke lettertypen je hebt en je browser weigert antwoord te geven, is ook dat stilzwijgen een signaal.

Bescherming tegen fingerprinting werkt daarom vaak anders dan mensen verwachten. Het gaat er niet alleen om dat je browser minder informatie weggeeft, maar ook dat je profiel minder afwijkt van dat van andere profielen. Een standaardprofiel kan daardoor soms sterker zijn dan een dichtgetimmerd profiel. Een browser die dezelfde vingerafdruk heeft als honderd andere computers, is voor een tracker veel minder interessant. Niet omdat er niets te zien is, maar omdat er niets unieks te zien is.

Chrome en Edge bieden standaard minder bescherming tegen fingerprinting dan browsers die meer nadruk leggen op privacy. Ze geven veel gewone browser- en systeeminformatie door, zoals schermgegevens, browserdetails, hardware-kenmerken en fontinformatie. Los zeggen die gegevens weinig, maar samen kunnen ze je herkenbaar maken voor trackers.

Brave en Firefox pakken dat anders aan. Brave gebruikt randomisatie: de browser geeft bij bepaalde metingen bewust net andere, maar geloofwaardige waarden terug. Firefox kiest in de strikte privacymodus vooral voor beperken, blokkeren en standaardiseren. Denk aan minder toegang tot lokale lettertypen, aangepaste scherminformatie en minder precieze informatie over de hardware in je computer. De aanpak verschilt, maar het doel is hetzelfde: minder opvallen.

Chrome en Edge hebben ook privacyfuncties, maar bieden standaard geen vergelijkbare, brede bescherming tegen fingerprinting. Dat verschil is belangrijk, zeker omdat Chrome van Google is en Edge van Microsoft: bedrijven die ook actief zijn in online advertenties, analyse en gebruikersprofielen. Niet iedere Chrome- of Edge-gebruiker heeft daardoor automatisch een uniek profiel. Wel geven deze browsers standaard meer gegevens door dan browsers die actief tegen fingerprinting beschermen. Juist de combinatie van die gegevens kan je herkenbaar maken.