OpenWPM de Princeton rastreó 1 millón de sitios y cuantificó el seguimiento y el fingerprinting

En 2016 el debate sobre el seguimiento en línea se basaba en anécdotas y muestras pequeñas. Una colaboración de 2014 había mostrado que los sitios web dibujaban imágenes invisibles para tomar la huella (fingerprinting) de los dispositivos, pero nadie había medido el ecosistema de seguimiento a escala: cuántos terceros existen realmente, cómo el seguimiento se desplaza hacia el fingerprinting sin estado, o si las herramientas de privacidad funcionan de verdad.

Las formas habituales de estudiar el problema no podían verlo. Inspeccionar el HTML sin ejecutarlo pasa por alto el código que solo se ejecuta dentro de un navegador; revisar a mano unos cientos de sitios populares oculta la larga cola de rastreadores; y las listas de bloqueo y las extensiones de privacidad se defendían y atacaban sin una base de evidencia. El fingerprinting, en particular, es invisible a menos que se cargue realmente una página.

Los investigadores de Princeton Steven Englehardt y Arvind Narayanan construyeron OpenWPM, un rastreador automatizado que controla un navegador Firefox totalmente instrumentado, y lo ejecutaron sobre el millón de sitios principales en enero de 2016, realizando más de 90 millones de solicitudes. Rastreos separados con y sin estado distinguieron el seguimiento basado en cookies del fingerprinting, y dos rastreos de 55.000 sitios con Ghostery y con el bloqueo de cookies de terceros de Firefox cuantificaron el efecto de cada herramienta.

La escala convirtió la medición en estructura: existen más de 81.000 terceros, pero solo 123 aparecen en más del 1% de los sitios; los 5 principales y 12 de los 20 principales son propiedad de Google; y Google, Facebook y Twitter son las únicas entidades presentes en más del 10% de los sitios. El fingerprinting por canvas apareció en 14.371 sitios, se documentaron tres técnicas nunca antes medidas —AudioContext, canvas-font y WebRTC— y se encontró que el 54% de los terceros solo se cargan por HTTP, un obstáculo para la adopción de HTTPS.

Instrumentar el propio navegador y luego observar un millón de sitios

Ejecutar páginas completas en un navegador instrumentado detecta el fingerprinting impulsado por JavaScript que el análisis estático y las listas de bloqueo no pueden ver

Rastreos separados con y sin estado atribuyeron el seguimiento a las cookies frente a las huellas de dispositivo, de modo que cada técnica pudo medirse con claridad

La escala de un millón de sitios expuso la estructura del mercado: una larga cola pronunciada con Google, Facebook y Twitter como las únicas entidades presentes en más del 10% de los sitios

Rastreos bloqueados en paralelo produjeron las primeras cifras concretas sobre las herramientas de privacidad: Ghostery redujo las inclusiones de terceros de 17,7 a 3,3 por sitio

Publicar OpenWPM y los conjuntos de datos convirtió un estudio en infraestructura compartida que otros investigadores podían verificar y sobre la que podían construir

Cuando el fenómeno solo existe dentro de la ejecución del lado del cliente, no discuta a partir de listas de bloqueo o muestras: instrumente el entorno de ejecución, mida a escala completa y publique la herramienta y los datos para su verificación.

Los conjuntos de datos del rastreo de enero de 2016 se publicaron como volcados de PostgreSQL y OpenWPM como plataforma abierta; el proyecto Princeton WebTAP enumera estudios construidos sobre él, y el repositorio de OpenWPM informa ahora de más de 75 estudios que utilizan el marco. El censo también documentó cómo había evolucionado el fingerprinting desde el estudio de canvas de 2014: los rastreadores más prominentes dejaron en gran medida de usar el fingerprinting por canvas tras la reacción pública, mientras que el número de dominios que lo despliegan creció y su uso pasó del seguimiento conductual a la detección de fraude.