プリンストン大学のOpenWPMが100万サイトをクロールし、トラッキングとフィンガープリンティングを定量化

2016年まで、オンライントラッキングをめぐる議論は逸話と小規模なサンプルに依存していた。2014年の共同研究は、ウェブサイトが目に見えない画像を描画してデバイスのフィンガープリントを取得していることを示していたが、トラッキングのエコシステムを大規模に測定した者は誰もいなかった。第三者が実際にどれだけ存在するのか、トラッキングがどのようにステートレスなフィンガープリンティングへ移行しているのか、あるいはプライバシーツールが実際に機能するのかどうかは、明らかになっていなかった。

この問題を研究する通常の方法では、実態を捉えられなかった。HTMLを実行せずに検査すると、ブラウザ内でしか動作しないコードを見逃す。数百の人気サイトを手作業で確認しても、トラッカーのロングテールは隠れてしまう。そしてブロックリストやプライバシー拡張機能は、証拠基盤なしに擁護され、攻撃されていた。特にフィンガープリンティングは、ページが実際に読み込まれなければ見えない。

プリンストン大学の研究者Steven EnglehardtとArvind Narayananは、完全に計測機能を組み込んだFirefoxブラウザを操作する自動クローラーOpenWPMを構築し、2016年1月に上位100万サイトをクロールして9,000万件を超えるリクエストを実行した。ステートフルとステートレスのクロールを分けることで、Cookieベースのトラッキングとフィンガープリンティングを区別し、Ghosteryを使った場合とFirefoxのサードパーティCookieブロックを使った場合のそれぞれ55,000サイトのクロールによって、各ツールの効果を定量化した。

この規模は測定を構造へと変えた。81,000を超える第三者が存在するが、1%を超えるサイトに現れるのは123のみであり、上位5社はすべてGoogle所有で、上位20社のうち12社もGoogle所有である。Google、Facebook、Twitterだけが10%を超えるサイトに存在する主体である。Canvasフィンガープリンティングは14,371サイトで確認され、これまで測定されたことのない3つの手法（AudioContext、canvas-font、WebRTC）が記録され、第三者の54%がHTTP経由でのみ読み込まれていることが判明した。これはHTTPS導入への障壁である。

ブラウザ自体を計測し、100万サイトを観察する

計測機能を組み込んだブラウザで完全なページを実行することで、静的解析やブロックリストでは見えないJavaScript駆動のフィンガープリンティングを捕捉できる

ステートフルとステートレスのクロールを分けることで、トラッキングをCookieとデバイスフィンガープリントに帰属させ、各手法を明確に測定できた

100万サイト規模により市場の構造が明らかになった。急峻なロングテールがあり、10%を超えるサイトに存在する主体はGoogle、Facebook、Twitterのみである

ブロックありのクロールを並行して実施することで、プライバシーツールに関する初の確固たる数値が得られた。Ghosteryはサイトあたりのサードパーティ組み込みを17.7から3.3に削減した

OpenWPMとデータセットを公開したことで、1つの研究が他の研究者が検証し発展させられる共有インフラとなった

現象がクライアント側の実行の内部にしか存在しない場合、ブロックリストやサンプルから論じるのではなく、ランタイムを計測し、完全な規模で測定し、検証のためにツールとデータを公開せよ。

2016年1月のクロールのデータセットはPostgreSQLダンプとして公開され、OpenWPMはオープンプラットフォームとして公開された。プリンストンWebTAPプロジェクトはそれを基に構築された研究を列挙しており、OpenWPMリポジトリは現在、このフレームワークを使用した75件以上の研究を報告している。この調査はまた、2014年のCanvas研究以降にフィンガープリンティングがどのように進化したかを記録している。最も著名なトラッカーは公開の反発を受けてCanvasフィンガープリンティングの使用をほぼやめた一方で、それを導入するドメインの数は増加し、その用途は行動トラッキングから不正検出へと移行した。