O OpenWPM de Princeton rastreou 1 milhão de sites e quantificou o rastreamento e a impressão digital

Em 2016, o debate sobre rastreamento online ainda se baseava em anedotas e amostras pequenas. Uma colaboração de 2014 havia mostrado sites desenhando imagens invisíveis para criar impressões digitais de dispositivos, mas ninguém havia medido o ecossistema de rastreamento em escala: quantos terceiros realmente existem, como o rastreamento migra para a impressão digital sem estado, ou se as ferramentas de privacidade realmente funcionam.

As formas habituais de estudar o problema não conseguiam enxergá-lo. Inspecionar o HTML sem executá-lo ignora código que só roda dentro de um navegador; verificar manualmente algumas centenas de sites populares esconde a cauda longa de rastreadores; e listas de bloqueio e extensões de privacidade eram defendidas e atacadas sem base de evidências. A impressão digital, em particular, é invisível a menos que uma página seja realmente carregada.

Os pesquisadores de Princeton Steven Englehardt e Arvind Narayanan criaram o OpenWPM, um rastreador automatizado que controla um navegador Firefox totalmente instrumentado, e o executaram nos 1 milhão de sites mais acessados em janeiro de 2016, fazendo mais de 90 milhões de requisições. Rastreamentos separados com e sem estado distinguiram o rastreamento por cookies da impressão digital, e dois rastreamentos de 55.000 sites, um com o Ghostery e outro com o bloqueio de cookies de terceiros do Firefox, quantificaram o efeito de cada ferramenta.

A escala transformou a medição em estrutura: existem mais de 81.000 terceiros, mas apenas 123 aparecem em mais de 1% dos sites; todos os 5 primeiros e 12 dos 20 primeiros pertencem ao Google; e Google, Facebook e Twitter são as únicas entidades presentes em mais de 10% dos sites. A impressão digital por canvas apareceu em 14.371 sites, três técnicas nunca antes medidas — AudioContext, canvas-font e WebRTC — foram documentadas, e 54% dos terceiros carregavam apenas via HTTP, um obstáculo à adoção de HTTPS.

Instrumentar o próprio navegador e então observar um milhão de sites

Executar páginas completas em um navegador instrumentado captura a impressão digital acionada por JavaScript que a análise estática e as listas de bloqueio não conseguem ver

Rastreamentos separados com e sem estado atribuíram o rastreamento a cookies versus impressões digitais de dispositivo, permitindo medir cada técnica de forma limpa

A escala de um milhão de sites expôs a estrutura do mercado: uma cauda longa acentuada, com Google, Facebook e Twitter como as únicas entidades presentes em mais de 10% dos sites

Rastreamentos lado a lado com bloqueio produziram os primeiros números concretos sobre ferramentas de privacidade — o Ghostery reduziu as inclusões de terceiros de 17,7 para 3,3 por site

A divulgação do OpenWPM e dos conjuntos de dados transformou um estudo em infraestrutura compartilhada que outros pesquisadores puderam verificar e sobre a qual puderam construir

Quando o fenômeno existe apenas dentro da execução no lado do cliente, não argumente a partir de listas de bloqueio ou amostras — instrumente o ambiente de execução, meça em escala total e divulgue a ferramenta e os dados para verificação.

Os conjuntos de dados do rastreamento de janeiro de 2016 foram publicados como dumps do PostgreSQL, e o OpenWPM como plataforma aberta; o projeto Princeton WebTAP lista estudos construídos sobre ele, e o repositório do OpenWPM agora relata mais de 75 estudos usando o framework. O censo também documentou como a impressão digital evoluiu desde o estudo de canvas de 2014: os rastreadores mais proeminentes em grande parte deixaram de usar a impressão digital por canvas após a reação pública, enquanto o número de domínios que a empregam cresceu e seu uso migrou do rastreamento comportamental para a detecção de fraudes.