Fingerprinting digitale: il modo segreto e insidioso con cui siamo tracciati online

Ormai saprete che la vostra attività sul web viene tracciata praticamente a ogni passo. Elementi come il vostro indirizzo IP, un numero associato alla vostra connessione al provider di servizi internet e i cookie possono identificarvi a siti web, inserzionisti e a chiunque sia interessato ai vostri dati tanto da pagarli. Ma esistono metodi molto più complessi per tracciare gli utenti su Internet, che possono superare anche i cookie bloccati o un indirizzo IP mascherato con una VPN.

Questa raccolta di dati variegati per gruppi di utenti, e a volte anche per un singolo utente, viene chiamato fingerprinting digitale. Con una rete abbastanza ampia per raccogliere dati attraverso le informazioni raccolte dai siti web e dalla pubblicità, è possibile ottenere un quadro incredibilmente preciso di ciò che un determinato utente fa online, a volte fino a una cronologia quasi completa del suo utilizzo del web.

Cosa non è il fingerprinting digitale

Nonostante l’allusione a qualcosa che potreste vedere in un programma televisivo su poliziotti e investigatori, il fingerprinting digitale non è un singolo file o punto dati. A differenza di un cookie di tracciamento o di un indirizzo IP, si tratta di un ampio e variegato insieme di variabili informative raccolte dai vostri dispositivi (smartphone, laptop e desktop e persino smart TV o elettrodomestici connessi) mentre utilizzate internet. Combinando tutti questi dati, è possibile tracciare un singolo utente e raccogliere un registro delle sue attività.

La cattiva notizia è che non esiste una pillola magica o un metodo unico per impedire a un sito o a un inserzionista di raccogliere tutti questi dati. Non potete semplicemente attivare la modalità Incognito e pensare che qualcuno non possa accedere alle vostre informazioni. Ciò significa che se volete evitare di essere monitorati, dovete adottare un approccio sistemico per proteggere le vostre informazioni e la vostra attività. Questo vale per ogni dispositivo che utilizzate, ogni volta che lo utilizzate.

Quali sono le informazioni contenute in un’impronta digitale?

Che tipo di dati vengono raccolti? Quelli più ovvi, come il tipo di browser web e il sistema operativo che state utilizzando, sono i primi, ma con la moderna tecnologia web i siti possono raccogliere dati come le estensioni del browser installate, i programmi o le app installate sul vostro dispositivo, la lingua in cui è impostato il vostro sistema o persino i font specifici che avete installato.

Ecco un lungo elenco, ma non certo definitivo, dei diversi tipi di dati che possono essere combinati per formare un fingerprinting digitale:

• La vostra posizione stimata, ricavata da dati come l’indirizzo IP, la segnalazione del paese e l’impostazione del fuso orario del vostro dispositivo
• Il tipo, il produttore, il sistema operativo e persino il numero di versione del vostro dispositivo
• Il vostro browser web (segnalato dal suo user agent), il numero di versione del browser e le impostazioni come “Do not track” e la lingua predefinita
• I plugin e le estensioni installate dal vostro browser, come il visualizzatore di PDF o l’ad-block
• Le informazioni sul display del vostro dispositivo, tra cui la risoluzione, le dimensioni e persino il display disponibile dedicato alla pagina web stessa
• Le autorizzazioni hardware del vostro dispositivo concesse al browser, come il controllo della fotocamera, del microfono o dell’accelerometro
• Le informazioni hardware di base del vostro dispositivo, come il livello della batteria o la RAM disponibile
• I formati video e audio installati per la riproduzione dei media disponibili
• Il layout predefinito della tastiera e se state utilizzando un touchscreen o meno
• I font installati
• Informazioni complesse sul browser, tra cui le intestazioni HTTP, le API disponibili, le informazioni sui CSS e gli oggetti JavaScript.

Alcuni sistemi di tracciamento possono essere ancora più complessi. Ad esempio, uno script incorporato può interrogare la CPU del vostro dispositivo per eseguire una rapida funzione crittografica, cosa che fa sempre in meno di un secondo. Ma misurando la velocità con cui il vostro dispositivo esegue i calcoli e confrontandola con quella di tutti gli altri dispositivi che eseguono lo stesso test, è possibile ottenere un benchmark del vostro processore e indovinare di che tipo e modello si tratta.

C’è un motivo per cui tutte queste informazioni vengono condivise e in genere sono innocue. Ad esempio, i siti web moderni hanno bisogno di conoscere le dimensioni e la risoluzione del vostro schermo per mostrarvi un testo facilmente leggibile e per formattarlo in modo che non copra altri elementi della pagina. Ma gli inserzionisti e altri attori hanno trovato modi ingegnosi per raccogliere e combinare questi dati in sistemi di tracciamento incredibilmente complessi che non hanno bisogno dei vecchi cookie o dei numeri IP.

Cosa può fare qualcuno con i dati del mio fingerprinting digitale?

Poiché i dispositivi moderni sono così complessi e i moderni utenti always-online tendono a utilizzare i loro computer e gadget in modo così diverso, è facile combinare tutti questi dati e restringerli a piccoli gruppi di utenti. Infatti, se utilizzate il vostro smartphone o il vostro computer da più di una settimana o poco più e non avete adottato misure specifiche per mascherarvi, il vostro fingerprinting digitale è probabilmente unico: una raccolta di dati così complessa e specifica che punta proprio a voi, e solo a voi.

Potete verificarlo con un servizio come AmIUnique.org o con lo strumento Cover Your Tracks della Electronic Frontier Foundation. Senza sorpresa, entrambi questi strumenti hanno stabilito che il mio computer desktop sta lasciando un’impronta digitale assolutamente unica tra più di un quarto di milione di risultati esaminati. È possibile, e anche piuttosto probabile, che un inserzionista possa individuare il mio profilo utente unico tra tutto il traffico web del pianeta.

Questo non significa che il mio fingerprinting digitale dica cose specifiche su di me, personalmente. Non può conoscere la mia età, la nazionalità, la razza, il sesso, l’indirizzo di casa, il numero di telefono e così via, almeno non senza collegarsi a qualche altro database di informazioni memorizzate. Ma può tracciare i siti web che visito e ciò che faccio online.

Questo perché i siti web e gli inserzionisti si scambiano i fingerprinting digitali come fossero carte collezionabili. Con una rete sufficientemente ampia che raccoglie i siti web e gli annunci pubblicitari, in particolare i siti più visitati come Google, Amazon, Facebook, YouTube e così via, è possibile costruire un registro quasi completo di ciò che utenti specifici fanno sul web. E per estensione, potete costruire un profilo di ciò a cui sono interessati… e di ciò che potrebbero voler acquistare.

Sì, tutto questo si ricollega alla pubblicità, la spina dorsale dell’internet moderno. Certo, è possibile per i governi, le forze dell’ordine e gli hacker tracciare gli individui utilizzando le stesse tecniche, ma a meno che non siate incredibilmente ricchi, o che non abbiate una posizione di rilievo nel governo o nell’industria, è molto probabile che non veniate presi di mira individualmente con queste tecniche. È tutta (e solo) una questione di pubblicità.

Tuttavia, i dati pubblicitari possono essere collegati alle vostre informazioni personali, almeno se siete connessi a un sito che dispone di tali informazioni. Questo rappresenta un pericolo più moderato per aspetti molto più spiacevoli come il furto d’identità o tentativi più elaborati, come il phishing o truffe di ogni genere. Anche in questo caso, è più probabile che veniate presi di mira se siete ricchi o importanti.

Come posso proteggere il mio fingerprinting digitale?

Poiché il fingerprinting digitale è composto da così tanti dati, è piuttosto difficile impedire a siti e inserzionisti di tracciarvi con esso. Elementi di base come lo spoofing della vostra posizione con una VPN e il blocco dei cookie non bastano, anche se rendono molto più difficile per il tracker restringere il campo a un utente web specifico.

Bloccare JavaScript con uno strumento come NoScript limiterà molti dei dati raccolti. Tuttavia, proprio come il blocco totale dei cookie, questo può far sì che molti siti web non funzionino, soprattutto i servizi e gli strumenti web più complessi. Anche l’utilizzo di un ad-block impedisce la raccolta di alcuni dati, ma non di tutti.

Alcuni browser dispongono di sistemi che cercano di limitare la quantità di dati accessibili per il fingerprinting. Firefox ne blocca almeno una parte, mentre i browser più attenti alla privacy come Tor, Brave, Mullvad e DuckDuckGo bloccano i dati o inviano informazioni generiche e non specifiche in modo da rendere più difficile il fingerprinting… ma non sono perfetti.

Un compromesso difficile

Il fingerprinting digitale è diventata una pratica comune e onnipresente per la pubblicità sul web. È così comune, infatti, che è quasi impossibile utilizzare internet senza fornire almeno alcuni dati, che possono essere utilizzati per creare un profilo di voi e delle vostre attività. Potete adottare misure per ridurre la quantità di informazioni raccolte, ma utilizzare qualsiasi tipo di servizio web complesso (come un negozio online o un social network) significa condividere almeno alcuni dati che possono essere tracciati.

Il pericolo di un fingerprinting digitale non è immediato: i rischi della pubblicità mirata sono minimi, a parte la tendenza a essere fastidiosa. Il potenziale di pericolosità si verifica quando questi dati vengono combinati con altre informazioni personali. La sicurezza dei vostri dati personali si basa su misure di sicurezza pratiche e basilari: tenere il minor numero possibile di dati nelle mani del minor numero possibile di persone. Purtroppo non c’è un modo pratico per utilizzare la rete moderna e non lasciare impronte digitali sulla vostra attività. Il meglio che potete fare è rendere un po’ più difficile per i siti e gli inserzionisti individuarvi in modo specifico.