Firefox amplía la protección contra el rastreo por huella digital del navegador

• Firefox 145 incorpora una gran actualización de privacidad para bloquear el rastreo mediante huella digital del navegador (fingerprinting)
• El rastreo por huella digital combina detalles como la zona horaria y la configuración del sistema operativo del usuario para crear un identificador único, lo que permite identificar al usuario incluso con las cookies bloqueadas o en modo privado
• La nueva protección se aplica primero en modo de Navegación privada y modo ETP Strict, e incorpora los resultados de un análisis global basado en datos reales de usuarios
• Con el sistema de defensa mejorado, la proporción de usuarios rastreables por huella digital se reduce a la mitad, implementando una estructura de protección multicapa que reduce el rastreo sin afectar las funciones web
• Firefox busca una privacidad inteligente que funcione automáticamente, ofreciendo un entorno en el que los usuarios puedan recuperar el control de la web sin extensiones adicionales

---

Principales mejoras de privacidad en Firefox 145

• Firefox 145 incluye una gran actualización para bloquear el rastreo por huella digital del navegador (fingerprinting)
  • El rastreo por huella digital recopila detalles del sistema del usuario para generar una ID digital única
  • Permite identificar al usuario incluso cuando las cookies están bloqueadas o durante la navegación privada
• Mozilla tiene como objetivo a largo plazo construir un ecosistema web saludable y transparente, y esta actualización forma parte de ese esfuerzo
• Tras Enhanced Tracking Protection (ETP) y Total Cookie Protection de Firefox, ahora amplía sus defensas contra el rastreo por huella digital

Cómo funciona el rastreo por huella digital y por qué es riesgoso

• El rastreo por huella digital combina información ambiental minuciosa, como la zona horaria, el sistema operativo y la configuración gráfica del usuario para crear una “huella” única
• Esa huella puede reconocerse igual entre sitios web y entre sesiones, lo que permite un rastreo persistente e invisible
• Actores maliciosos pueden rastrear al usuario durante largos periodos sin su consentimiento, e identificarlo durante meses incluso en modo privado

Estructura del sistema de defensa reforzado

• Mozilla desarrolló un nuevo sistema de defensa basado en un análisis global de datos reales de navegación de usuarios
  • Indica que Firefox es el primer navegador en implementar este nivel de análisis y defensa
• La nueva defensa se aplica primero en modo de Navegación privada y modo ETP Strict, con planes de ampliarla a la configuración predeterminada más adelante
• Gracias a este sistema, la proporción de usuarios rastreables por huella digital se reduce a la mitad

Enfoque de protección multicapa de Firefox

• Además de bloquear scripts de rastreo, Firefox también limita la información que se entrega a los sitios web
  • Por ejemplo, la información del hardware gráfico es necesaria para optimizar juegos, pero también puede usarse indebidamente para rastrear
• Desde 2021, protege gradualmente elementos clave de la huella digital como el renderizado gráfico, las fuentes y la forma de realizar operaciones matemáticas
• En las versiones recientes, reforzó la protección de fuentes y bloqueó la exposición de detalles del hardware (número de núcleos del procesador, cantidad de entradas táctiles, tamaño de la barra de tareas, etc.)
• Según la investigación de Mozilla, estas mejoras redujeron aproximadamente a la mitad la tasa en la que los usuarios son reconocidos como únicos

Equilibrio entre funciones web y privacidad

• Firefox da importancia al equilibrio entre obstaculizar el rastreo por huella digital y mantener las funciones web
  • Por ejemplo, herramientas de calendario o videoconferencia necesitan la información real de la zona horaria
• Por eso, Firefox bloquea solo las rutas más vulnerables de recopilación de huellas mientras mantiene las funciones esenciales
• Si un usuario tiene problemas en un sitio específico, puede desactivar la protección solo para ese sitio
• El objetivo es ofrecer una protección de privacidad sólida sin degradar la experiencia de uso

Próximos pasos y control del usuario

• Al usar la Navegación privada o el modo ETP Strict, Firefox ya realiza protección contra el rastreo en segundo plano
• Esta etapa es un hito importante en la construcción de un sistema de protección inteligente que funcione automáticamente sin extensiones ni configuraciones adicionales
• Mozilla seguirá impulsando una experiencia web centrada en el usuario y un mayor refuerzo de la privacidad
• Al actualizar a la versión más reciente de Firefox, el usuario puede controlar directamente su privacidad en línea

[GN⁺]

Opiniones de Hacker News

• Yo siempre uso solo navegación privada, pero sé que no es tan efectiva para bloquear el rastreo
  Por eso me da gusto que por fin se empiecen a aplicar funciones como esta
  Hace falta demasiado esfuerzo para navegar de forma anónima, y las empresas intentan saltarse mi decisión incluso cuando elijo no aceptar el rastreo
  Solo con esa actitud ya se puede ver su verdadera naturaleza: codiciosa y opaca
  Ojalá a nivel estatal se prohibiera por completo el rastreo cuando uno rechaza las cookies, pero siendo realistas, parece probable que las empresas hagan lobby para frenar protecciones como esta de Firefox

  • La extensión “Temporary Containers” viene como anillo al dedo para esta situación
    Puedes separar los sitios personales donde inicias sesión, los contenedores para rastreo y los contenedores temporales que desaparecen al cerrarlos
    Enlace a la extensión Temporary Containers
  • En vez de navegación privada, también vale la pena probar la función de perfiles. Cada perfil se administra de forma completamente separada
  • Otra opción es usar Tor. Aunque estaría bien que hubiera alguna forma de crear una cuenta de Reddit
  • Yo quisiera que hubiera “empleados pequeños pero con conciencia”
    Los desarrolladores que implementan funciones invasivas para la privacidad por dinero también forman parte de la estructura empresarial
    Hay muchísimos trabajadores en zonas grises sosteniendo este sistema
  • El GDPR de Europa ya aborda este tipo de problemas
    Hay normas que exigen consentimiento no solo para las cookies, sino para la recopilación de datos personales en general
    Últimamente también están apareciendo leyes parecidas en otras regiones

• Es una buena decisión que Firefox dedique recursos a este tipo de funciones
  Aunque, por tener pocos usuarios, está en desventaja en términos de huella digital del navegador (fingerprinting)

  • Hace tiempo alguien mostró qué tan sesgadas pueden ser las estadísticas de navegadores
    Safari y Firefox suelen quedar mal representados en herramientas de analítica, así que parecen menos importantes de lo que realmente son
    Si se confunden las estadísticas del lado del cliente con las del lado del servidor, la diferencia puede ser enorme
  • Yo creo que, incluso si me rastrean, la seguridad es más importante
    Si usas NoScript junto con uBlock, estás protegido contra el malvertising (publicidad maliciosa)
    Wiki con ejemplos de malvertising
  • A veces pienso que mi User Agent ayuda a identificarme
    Hacerme pasar por Chrome/Windows sería mejor para la privacidad, pero si todos hicieran eso, parecería que los usuarios de Firefox o Linux desaparecieron
    Yo quiero mostrar que los usuarios de Firefox y Linux sí existen
  • Si no se evita la huella digital de forma completa, hasta podría producirse el efecto contrario: que tus rasgos distintivos destaquen aún más

• Antes probé una extensión que creaba un “perfil aleatorio nuevo por cada pestaña”, y eso arruinaba por completo los algoritmos de rastreo
  Pero la función de inicio de sesión se rompía tan seguido que al final dejé de usarla

  • Probablemente esa extensión era Temporary Containers
  • La guía de configuración relacionada está en este documento de GitHub

• Últimamente los sitios protegidos por Cloudflare no funcionan bien en Firefox
  Por eso ya ni los visito, aunque siento que al final esta pelea se va a perder

  • Creo que el widget de seguridad de Cloudflare le ha hecho daño a todo internet. Deberían ofrecer otra alternativa
  • Me da curiosidad qué síntomas ves. ¿Solo pasa en el modo de protección agresiva de Cloudflare? Yo uso únicamente Firefox y no lo he notado
  • Yo solo uso Firefox a través de Mullvad VPN y nunca he tenido problemas con Cloudflare ni con CAPTCHA
  • Es muy probable que lo que te pasó se deba a una configuración específica. No es que todos los sitios con Cloudflare fallen en Firefox

• Cuando hice pruebas antes en fingerprint.com, incluso usando resistFingerprinting y una VPN, el hash casi no cambiaba
  Solo cambiaba al modificar el perfil, y en 2021 cambiaba cada vez que reiniciabas

  • Tal vez fingerprint.com reforzó su algoritmo de detección
    En mi caso, durante varios días me reconoce como el mismo perfil y luego de repente pasa a “usuario visto por primera vez”
    No sé si tendrán alguna política de TTL
    En cambio, en Mullvad Browser parece que te agrupan con usuarios aleatorios de todo el mundo

• Lo que más influye en mi huella digital es el tamaño del canvas
  Como tengo una configuración personalizada ajustada a pantalla completa, termino con un tamaño único
  La protección de Firefox abre las ventanas nuevas con un tamaño predeterminado, pero por mi configuración de barras de herramientas sigo siendo único
  Estaría bien una función que agregara un margen aleatorio de entre 5 y 10 píxeles por contenedor

  • Para evitar el fingerprinting por canvas
    en about:config basta con poner privacy.resistFingerprinting en true y
    privacy.resistFingerprinting.letterboxing en true
    Entonces se ajusta a tamaños comunes y aparecen bordes grises de letterbox
  • Ahora también entiendo por qué me aplican la restricción del paywall
    Era porque uso Tree Style Tab y eso generaba una proporción de pantalla poco normal
    Voy a experimentar ajustando el ancho

• Vi la lista de elementos de protección contra huellas digitales de Firefox (enlace a la documentación oficial)
  y como desarrollador me sorprendió bastante. En especial, la alteración de datos de canvas me pareció algo agresiva

  • Esto de verdad parece una situación de “no podemos tener cosas buenas”

• Es una lástima que, por defecto, Firefox rompa los sitios que usan la canvas imageData API
  Como no hay una forma de pedir permiso al usuario, es difícil ofrecer un proceso de consentimiento

  • Me da curiosidad qué sitios se ven afectados

• Yo ya uso CanvasBlocker, Decentraleyes y NoScript Security Suite
  Estaría bien que añadieran más protecciones, aunque probablemente tarden en llegar a Waterfox

  • Pero esos addons adicionales también pueden hacer que sea más fácil rastrearte
    Bloquear canvas, desactivar JS o hacer solicitudes de red poco comunes aumenta la entropía de identificación (entropy)
    Por esa misma razón, el proyecto Tor no recomienda instalar bloqueadores de anuncios
  • Yo también antes probé un montón de configuraciones anti-rastreo, pero los sitios se rompían demasiado seguido y al final lo dejé
    Es importante mantener un equilibrio entre usabilidad y nivel de protección

• Creo que el método de agregar ruido a las imágenes es riesgoso
  Cuando implementas funciones de edición de imágenes con JavaScript, los datos pueden corromperse

  • Aun así, según el artículo, este tipo de función se puede desactivar por sitio