Cómo eludir la protección avanzada contra huellas de audio en Safari 17

Identificación mediante audio

• La técnica de identificación por audio usa la API de audio del navegador para generar una señal de audio y luego suma todas las muestras de esa señal generada para convertirlas en un solo número.
• Este número se usa como huella digital (identificador) y se mantiene estable incluso si se borran las cookies o se cambia al modo incógnito.
• Sin embargo, el identificador no es extremadamente único, por lo que muchos usuarios pueden compartir el mismo identificador.

Cómo Safari 17 interfiere con la huella de audio

• Safari 17 introdujo una protección avanzada contra huellas digitales, activada por defecto en el modo de navegación privada y desactivada en el modo normal.
• Esta protección agrega ruido aleatorio a cada muestra de audio para reducir la precisión de la huella.
• Como resultado, la huella de audio cambia cada vez que se calcula, por lo que deja de servir para identificar.

Cómo eludir la protección avanzada contra huellas en Safari 17

• Tres pasos para mejorar el algoritmo de huella y eliminar el ruido que agrega Safari: reducir la dispersión del ruido, ampliar la separación entre los identificadores del navegador y redondear la huella para eliminar el ruido restante.
• Para reducir el ruido, se combinan varias huellas de audio y se modifica la señal base para aumentar las diferencias entre las muestras de audio de distintos navegadores.
• Para estabilizar el resultado, se redondean las muestras de audio conservando las cifras importantes.

Rendimiento

• El nuevo algoritmo de huella de audio rinde entre 1.5 y 2 veces peor que el algoritmo anterior, pero aun así requiere poco tiempo de cálculo incluso en dispositivos de bajo rendimiento.
• Parte del trabajo se procesa en el hilo OfflineAudioRender para que la página mantenga su capacidad de respuesta.

Cómo funciona en navegadores enfocados en la privacidad

• Navegadores centrados en la privacidad, como Tor y Brave, también intentan limitar la huella de audio.
• En Tor, la Web Audio API está completamente deshabilitada, por lo que la huella de audio no es posible.
• Brave usa un enfoque similar al de Safari 17 y agrega ruido a la señal de audio.

Uso en FingerprintJS

• El nuevo algoritmo de huella de audio reemplaza al algoritmo anterior en FingerprintJS.
• La huella de audio es solo una de muchas señales usadas para generar la huella del navegador, y la estabilidad y singularidad de cada señal se analizan por separado para determinar su impacto en la precisión de la huella.

Opinión de GN⁺

• La función de Safari 17 que interfiere con la huella de audio muestra el esfuerzo de Apple por reforzar la privacidad de los usuarios. Esto puede ofrecer una mayor privacidad para las personas usuarias.
• Sin embargo, servicios como FingerprintJS siguen permitiendo la identificación al eludir estas protecciones, lo que pone en evidencia la tensión permanente entre privacidad y seguridad.
• Hace falta una discusión adicional sobre cómo puede aprovecharse esta tecnología en ciberseguridad. Por ejemplo, podría usarse para prevenir fraude y proteger cuentas de usuario.
• Otros proyectos de código abierto con funciones similares incluyen Privacy Badger y uBlock Origin, que pueden ayudar a bloquear el rastreo de usuarios.
• Al adoptar esta tecnología, es importante encontrar un equilibrio entre la privacidad de las personas usuarias y las necesidades de seguridad de los sitios web. El beneficio potencial es una mayor precisión en la identificación, pero también debe considerarse el riesgo de invadir la privacidad.

[GN⁺]

Opiniones de Hacker News

• Técnica de huella digital por GPU

  • La técnica de huella digital por GPU, llamada 'DrawnApart', usa WebGL para medir la cantidad y velocidad de las unidades de ejecución de la GPU, así como el tiempo de finalización del renderizado de vértices y el procesamiento de funciones de bloqueo.
  • Fuente

• Posibilidad de la huella digital de audio

  • Se pide una explicación de por qué es posible la huella digital de audio.

• Ineficacia de agregar ruido para prevenir la filtración de datos

  • Considerando el interés reciente en los ataques de canal lateral, agregar ruido para evitar la filtración de datos no es efectivo porque se pueden tomar más muestras y eliminar ese ruido.
  • Se cuestiona por qué Safari añadió esta medida.

• Especificación de la Web Audio API y antialiasing de osciladores

  • Parece que la clave del éxito para evadir la protección contra huellas digitales está en la elección, dentro de la especificación de la Web Audio API, de cómo manejar el antialiasing de los osciladores.
  • Según el navegador o el hardware, se pueden elegir distintos métodos de antialiasing, lo que puede producir resultados no deterministas entre navegadores o incluso dentro del mismo navegador.
  • Se expresa falta de comprensión sobre la decisión de dejar el antialiasing en manos del navegador.
  • Fuente

• Crítica a la implementación de la API de audio dentro del navegador

  • Se opina que incluir en el navegador una API de audio basada en grafo de nodos es poco razonable.
  • Se sostiene que solo deberían existir los audio worklets.

• Propuesta de mejora al método de agregar ruido al muestreo

  • Se propone que Safari, en lugar de agregar ruido aleatorio a cada muestra, podría agregar ruido basado en una clave que cambie con el tiempo.
  • Con este método, el ruido sería consistente dentro de una sesión, pero dejaría de servir para el rastreo después de una hora.

• Opinión de un usuario que prefiere desactivar JavaScript

  • Un usuario comenta que prefiere navegar por la web con JavaScript desactivado.

• Interferencia con la huella digital mediante cambios al prototipo de la Audio API

  • Se propone un método para interferir con la huella digital modificando el prototipo de la Audio API para que devuelva los resultados deseados.
  • Se reconoce la dificultad de obtener la huella imitada que se desea.

• Base de la huella digital por procesamiento de audio

  • Se pregunta si la huella digital por procesamiento de audio se basa en diferencias de hardware/controladores/SO, o si simplemente se basa en diferencias del software del navegador.
  • Se menciona que existía una técnica similar que usaba <canvas> para revelar diferencias entre dispositivos gráficos.