Firefox amplia proteção contra rastreamento por impressão digital no navegador

• O Firefox 145 aplica uma grande atualização de privacidade para bloquear o rastreamento por impressão digital do navegador (fingerprinting)
• O rastreamento por impressão digital cria um identificador único ao combinar detalhes como fuso horário e configurações do sistema operacional do usuário, permitindo identificá-lo mesmo com cookies bloqueados ou no modo de navegação privada
• A nova proteção será aplicada primeiro no modo de Navegação Privada e no modo ETP Strict, refletindo os resultados de uma análise global baseada em dados reais de usuários
• Com o sistema de defesa aprimorado, a proporção de usuários passíveis de rastreamento por impressão digital caiu pela metade, implementando uma estrutura de proteção em várias camadas que reduz o rastreamento sem prejudicar os recursos da web
• O Firefox busca uma privacidade inteligente que funciona automaticamente, oferecendo um ambiente em que o usuário pode retomar o controle da web mesmo sem extensões adicionais

---

Principais reforços de privacidade no Firefox 145

• O Firefox 145 inclui uma grande atualização para bloquear o rastreamento por impressão digital do navegador (fingerprinting)
  • O rastreamento por impressão digital coleta detalhes do sistema do usuário para gerar uma ID digital única
  • Ele permite identificar o usuário mesmo quando os cookies estão bloqueados ou durante a navegação privada
• A Mozilla tem como meta de longo prazo construir um ecossistema web saudável e transparente, e esta atualização faz parte desse esforço
• Após o Enhanced Tracking Protection (ETP) e o Total Cookie Protection do Firefox, a defesa contra rastreamento por impressão digital foi ampliada

Como funciona o rastreamento por impressão digital e seus riscos

• O rastreamento por impressão digital cria uma “impressão” única ao combinar informações sutis do ambiente, como fuso horário, sistema operacional e configurações gráficas do usuário
• Essa impressão pode ser reconhecida da mesma forma entre sites e sessões, tornando possível um rastreamento contínuo e invisível
• Agentes maliciosos podem rastrear o usuário por longos períodos sem consentimento, sendo possível identificá-lo por meses até mesmo no modo privado

Estrutura do sistema de defesa reforçado

• A Mozilla desenvolveu o novo sistema de defesa com base em uma análise global de dados reais de navegação dos usuários
  • O Firefox é apontado como o primeiro navegador a implementar esse nível de análise e defesa
• A nova proteção será aplicada primeiro no modo de Navegação Privada e no modo ETP Strict, com expansão futura para a configuração padrão
• Com esse sistema de defesa, a proporção de usuários passíveis de rastreamento por impressão digital caiu pela metade

A abordagem de proteção em várias camadas do Firefox

• Além do bloqueio de scripts de rastreamento já existente, o Firefox também limita as próprias informações fornecidas aos sites
  • Ex.: informações de hardware gráfico são necessárias para otimização de jogos, mas também podem ser exploradas para rastreamento
• Desde 2021, vem protegendo de forma gradual elementos-chave de impressão digital, como renderização gráfica, fontes e métodos de cálculo matemático
• Nas versões recentes, houve reforço na proteção de fontes e bloqueio da exposição de detalhes de hardware como número de núcleos do processador, quantidade de entradas por tela sensível ao toque e tamanho da barra de tarefas
• Segundo a pesquisa da Mozilla, essas melhorias reduziram em cerca de metade a taxa de reconhecimento como usuário único

Equilíbrio entre funcionalidades da web e privacidade

• O Firefox dá importância ao equilíbrio entre impedir o rastreamento por impressão digital e manter os recursos da web
  • Por exemplo, calendários e ferramentas de videoconferência precisam das informações reais de fuso horário
• Por isso, o Firefox bloqueia apenas os caminhos mais vulneráveis de coleta de impressão digital, preservando as funções essenciais
• Se houver problemas em um site específico, o usuário pode desativar a proteção apenas para aquele site
• O objetivo é oferecer forte proteção de privacidade sem degradar a experiência de uso

Próximos passos e controle do usuário

• Ao usar a Navegação Privada ou o modo ETP Strict, o Firefox já executa proteções contra rastreamento em segundo plano
• Esta etapa é um marco importante na construção de um sistema de proteção inteligente que funciona automaticamente, sem extensões ou configurações adicionais
• A Mozilla continuará promovendo uma experiência web centrada no usuário e com privacidade reforçada
• Ao atualizar para a versão mais recente do Firefox, o usuário pode controlar diretamente sua própria privacidade online

[GN⁺]

Comentários do Hacker News

• Eu sempre uso apenas navegação privada, mas sei que o efeito de bloqueio de rastreamento não é tão grande
  Por isso, fico feliz em ver esse tipo de recurso finalmente começando a ser aplicado
  Exige esforço demais navegar de forma anônima, e as empresas tentam contornar isso mesmo quando eu escolho não ser rastreado
  Só essa atitude já mostra a verdadeira natureza delas — um comportamento ganancioso e opaco
  Seria ótimo se os países proibissem totalmente qualquer rastreamento quando os cookies são recusados, mas, na prática, parece provável que as empresas façam lobby para bloquear essas proteções do Firefox

  • A extensão Temporary Containers é perfeita para esse cenário
    Dá para gerenciar separando sites pessoais com login, contêineres de rastreamento e contêineres temporários que desaparecem ao fechar
    Link da extensão Temporary Containers
  • Também vale a pena experimentar o recurso de perfis em vez da navegação privada. Cada perfil fica totalmente isolado
  • Outra opção é usar o Tor. Só queria que houvesse uma forma de criar uma conta no Reddit
  • Eu queria ver mais “funcionários pequenos, mas conscienciosos”
    Os desenvolvedores que implementam recursos de invasão de privacidade por dinheiro também fazem parte da estrutura corporativa
    Uma multidão de trabalhadores em zonas cinzentas sustenta esse sistema
  • O GDPR europeu já trata desse problema
    Há regras que exigem consentimento não só para cookies, mas para a coleta de dados pessoais em geral
    Hoje em dia, leis parecidas também estão surgindo em outras regiões

• É uma boa decisão o Firefox investir recursos nesse tipo de funcionalidade
  Mas, como o número de usuários é pequeno, ele fica em desvantagem em termos de impressão digital do navegador (fingerprinting)

  • Alguém já mostrou antes o quanto as estatísticas de navegadores podem ficar distorcidas
    Safari e Firefox aparecem menos nas ferramentas de análise, então parecem menos importantes do que realmente são
    Confundir estatísticas do lado do cliente com estatísticas do lado do servidor gera uma diferença grande
  • Mesmo sendo rastreado, eu considero a segurança mais importante
    Usando NoScript e uBlock juntos, você fica protegido contra malvertising (publicidade maliciosa)
    Wiki com exemplos de malvertising
  • Às vezes penso que meu User Agent ajuda a me identificar
    Fingir ser Chrome/Windows seria melhor para a privacidade, mas, se todo mundo fizer isso, vai parecer que usuários de Firefox ou Linux desapareceram
    Eu quero mostrar que usuários de Firefox e Linux existem
  • Se você não bloquear completamente a impressão digital, pode acabar tendo o efeito contrário, em que suas características distintivas ficam ainda mais evidentes

• Eu já usei uma extensão que criava um novo perfil aleatório para cada aba, e isso destruía completamente os algoritmos de rastreamento
  Só que o login quebrava com frequência, então no fim parei de usar

  • Provavelmente essa extensão era o Temporary Containers
  • Há um guia de configuração relacionado neste documento do GitHub

• Hoje em dia, sites protegidos pela Cloudflare não funcionam bem no Firefox
  Então acabei simplesmente deixando de visitar esses sites, mas parece que essa briga vai acabar sendo perdida

  • Acho que o widget de segurança da Cloudflare prejudicou a internet como um todo. Eles precisam apresentar outra alternativa
  • Fiquei curioso sobre quais sintomas você viu. Isso acontece só no modo de proteção agressiva da Cloudflare? Eu só uso Firefox e nunca percebi esse problema
  • Eu só uso Firefox por meio do Mullvad VPN e nunca tive problemas com Cloudflare nem com CAPTCHA
  • É bem possível que o problema que você teve tenha sido causado por alguma configuração específica. Não é que todos os sites com Cloudflare deixaram de funcionar no Firefox

• Quando testei no fingerprint.com no passado, mesmo usando resistFingerprinting e VPN, o hash quase não mudava
  Ele só mudava quando eu trocava de perfil, e em 2021 mudava a cada reinicialização

  • Parece que o fingerprint.com fortaleceu seu algoritmo de detecção
    No meu caso, ele me reconhece como o mesmo perfil por alguns dias e depois, de repente, passa a me mostrar como “usuário visto pela primeira vez”
    Não sei se existe alguma política de TTL nisso
    Já no Mullvad Browser, parece que eu sou agrupado com usuários aleatórios do mundo inteiro

• O que mais afeta minha impressão digital é o tamanho do canvas
  Por causa de uma configuração personalizada ajustada à tela cheia, ele acaba ficando com um tamanho único
  O recurso de proteção do Firefox abre janelas novas no tamanho padrão, mas, por causa da minha configuração de barra de ferramentas, ele continua único
  Seria ótimo se houvesse um recurso para adicionar uma margem de erro aleatória de uns 5 a 10 pixels por contêiner

  • Para evitar fingerprinting por canvas,
    basta definir privacy.resistFingerprinting como true em about:config,
    e privacy.resistFingerprinting.letterboxing como true
    Aí o navegador se ajusta a um tamanho comum e cria bordas cinzas de letterbox
  • Agora também entendo por que estou sendo bloqueado por limites de paywall
    Eu usava Tree Style Tab e isso criava uma proporção de tela fora do normal
    Estou pensando em ajustar a largura para testar

• Vi a lista de itens de proteção contra fingerprinting do Firefox (link da documentação oficial)
  Do ponto de vista de desenvolvedor, achei bem surpreendente. Em especial, a alteração dos dados de canvas pareceu um pouco radical

  • Esse é realmente um daqueles casos de “não podemos ter recursos legais”

• É uma pena que, por padrão, o Firefox quebre sites que usam a API canvas imageData
  Como não existe uma forma de pedir permissão ao usuário, fica difícil oferecer um fluxo de consentimento

  • Fiquei curioso sobre quais sites são afetados

• Eu já uso CanvasBlocker, Decentraleyes e NoScript Security Suite
  Seria bom se mais proteções fossem adicionadas, mas provavelmente vai demorar até isso chegar ao Waterfox

  • Mas esses addons extras podem, na verdade, facilitar ainda mais o rastreamento
    Bloqueio de canvas, JavaScript desativado, requisições de rede incomuns e afins aumentam a entropia de identificação
    O projeto Tor também não recomenda instalar bloqueadores de anúncios por esse motivo
  • Eu também já enchi meu navegador de configurações antirrastreamento no passado, mas os sites quebravam com frequência demais, então desisti no fim
    O importante é equilibrar usabilidade e nível de proteção

• Acho arriscado usar um método que adiciona ruído às imagens
  Se você implementar edição de imagem em JavaScript, os dados podem acabar sendo corrompidos

  • Ainda assim, segundo o artigo, esse recurso pode ser desativado por site