Le robot d'exploration OpenWPM de Princeton a parcouru 1 million de sites et quantifié le pistage et l'empreinte numérique

En 2016, le débat sur le pistage en ligne reposait sur des anecdotes et de petits échantillons. Une collaboration de 2014 avait montré que des sites web dessinaient des images invisibles pour prendre l'empreinte numérique des appareils, mais personne n'avait mesuré l'écosystème du pistage à grande échelle : combien de tiers existent réellement, comment le pistage évolue vers une empreinte numérique sans état, ou si les outils de protection de la vie privée fonctionnent réellement.

Les méthodes habituelles d'étude du problème ne permettaient pas de le voir. Inspecter le HTML sans l'exécuter manque le code qui ne s'exécute qu'à l'intérieur d'un navigateur ; vérifier à la main quelques centaines de sites populaires masque la longue traîne des traqueurs ; et les listes de blocage et les extensions de protection de la vie privée étaient défendues et attaquées sans base de preuves. L'empreinte numérique en particulier est invisible à moins qu'une page ne soit réellement chargée.

Les chercheurs de Princeton Steven Englehardt et Arvind Narayanan ont construit OpenWPM, un robot d'exploration automatisé qui pilote un navigateur Firefox entièrement instrumenté, et l'ont exécuté sur le million de sites les plus visités en janvier 2016, effectuant plus de 90 millions de requêtes. Des explorations distinctes avec et sans état ont permis de distinguer le pistage par cookies de l'empreinte numérique, et deux explorations de 55 000 sites avec Ghostery et avec le blocage des cookies tiers de Firefox ont quantifié l'effet de chaque outil.

L'échelle a transformé la mesure en structure : plus de 81 000 tiers existent mais seulement 123 apparaissent sur plus de 1 % des sites, la totalité du top 5 et 12 des 20 premiers appartiennent à Google, et Google, Facebook et Twitter sont les seules entités présentes sur plus de 10 % des sites. L'empreinte numérique par canvas apparaissait sur 14 371 sites, trois techniques jamais mesurées auparavant — AudioContext, canvas-font et WebRTC — ont été documentées, et 54 % des tiers ont été trouvés comme ne se chargeant que via HTTP, un obstacle à l'adoption de HTTPS.

Instrumenter le navigateur lui-même, puis observer un million de sites

L'exécution de pages complètes dans un navigateur instrumenté capture l'empreinte numérique pilotée par JavaScript que l'analyse statique et les listes de blocage ne peuvent pas voir

Des explorations distinctes avec et sans état ont attribué le pistage aux cookies versus aux empreintes d'appareil, de sorte que chaque technique pouvait être mesurée proprement

L'échelle du million de sites a exposé la structure du marché : une longue traîne abrupte avec Google, Facebook et Twitter comme seules entités présentes sur plus de 10 % des sites

Des explorations côte à côte avec blocage ont produit les premiers chiffres concrets sur les outils de protection de la vie privée — Ghostery a réduit les inclusions de tiers de 17,7 à 3,3 par site

La publication d'OpenWPM et des jeux de données a transformé une étude en infrastructure partagée que d'autres chercheurs pouvaient vérifier et sur laquelle ils pouvaient s'appuyer

Lorsque le phénomène n'existe qu'à l'intérieur de l'exécution côté client, ne discutez pas à partir de listes de blocage ou d'échantillons — instrumentez l'environnement d'exécution, mesurez à pleine échelle, et publiez l'outil et les données pour vérification.

Les jeux de données de l'exploration de janvier 2016 ont été publiés sous forme de dumps PostgreSQL et OpenWPM comme plateforme ouverte ; le projet Princeton WebTAP répertorie les études construites sur cette base, et le dépôt OpenWPM rapporte désormais plus de 75 études utilisant le framework. Le recensement a également documenté comment l'empreinte numérique avait évolué depuis l'étude canvas de 2014 : les traqueurs les plus importants ont largement cessé d'utiliser l'empreinte numérique par canvas après les réactions du public, tandis que le nombre de domaines la déployant a augmenté et son usage a glissé du pistage comportemental vers la détection de fraude.