Firefox ने browser fingerprinting से सुरक्षा का दायरा बढ़ाया

• Firefox 145 वर्ज़न में browser fingerprinting के ज़रिए होने वाली tracking को ब्लॉक करने के लिए बड़ा privacy upgrade लागू किया गया
• fingerprinting, उपयोगकर्ता की time zone, operating system settings जैसी विस्तृत जानकारी को जोड़कर एक unique identifier बनाती है, जिससे cookie block होने या private mode में भी उपयोगकर्ता की पहचान संभव हो जाती है
• नई सुरक्षा सुविधा पहले Private Browsing mode और ETP Strict mode में लागू होगी, और इसमें वास्तविक user data पर आधारित वैश्विक विश्लेषण के नतीजे शामिल हैं
• बेहतर defense system की वजह से fingerprinting से track किए जा सकने वाले उपयोगकर्ताओं का अनुपात आधा हो गया, और web functionality को नुकसान पहुँचाए बिना tracking कम करने वाली multi-layered protection structure लागू की गई
• Firefox का लक्ष्य अपने-आप काम करने वाली smart privacy protection है, ताकि अतिरिक्त extensions के बिना भी उपयोगकर्ताओं को वेब पर अपना नियंत्रण वापस पाने वाला माहौल मिल सके

---

Firefox 145 में प्रमुख privacy सुधार

• Firefox 145 में browser fingerprinting को ब्लॉक करने के लिए बड़ा upgrade शामिल है
  • fingerprinting उपयोगकर्ता के system details इकट्ठा करके एक unique digital ID बनाती है
  • cookie block होने या private browsing के दौरान भी उपयोगकर्ता की पहचान की जा सकती है
• Mozilla का दीर्घकालिक लक्ष्य स्वस्थ और पारदर्शी web ecosystem बनाना है, और यह update उसी दिशा का हिस्सा है
• Firefox ने Enhanced Tracking Protection(ETP) और Total Cookie Protection के बाद अब fingerprinting defense का दायरा बढ़ाया है

fingerprinting कैसे काम करती है और इसके खतरे

• fingerprinting उपयोगकर्ता की time zone, operating system, graphics settings जैसी सूक्ष्म environment information को मिलाकर एक unique ‘fingerprint’ बनाती है
• यह fingerprint websites के बीच और अलग-अलग sessions में भी एक जैसी पहचानी जा सकती है, जिससे लगातार और अदृश्य tracking संभव हो जाती है
• दुर्भावनापूर्ण पक्ष उपयोगकर्ता की सहमति के बिना लंबे समय तक tracking कर सकते हैं, और private mode में भी महीनों तक पहचान संभव हो सकती है

मज़बूत defense system की संरचना

• Mozilla ने वास्तविक उपयोगकर्ताओं के browser data के वैश्विक विश्लेषण के आधार पर नया defense system विकसित किया
  • Mozilla के अनुसार, Firefox इस स्तर का विश्लेषण और सुरक्षा लागू करने वाला पहला browser है
• नई defense सुविधा पहले Private Browsing mode और ETP Strict mode में लागू होगी, और आगे चलकर इसे default setting तक बढ़ाने की योजना है
• इस defense system की वजह से fingerprinting से track किए जा सकने वाले उपयोगकर्ताओं का अनुपात आधा हो गया

Firefox की multi-layered protection approach

• Firefox सिर्फ tracking scripts को block नहीं करता, बल्कि websites को दी जाने वाली जानकारी को भी सीमित करता है
  • उदाहरण: graphics hardware information गेम optimization के लिए ज़रूरी हो सकती है, लेकिन उसका दुरुपयोग tracking में भी हो सकता है
• 2021 के बाद से Firefox ने चरणबद्ध तरीके से graphics rendering, fonts, mathematical operations जैसी प्रमुख fingerprinting elements की सुरक्षा की है
• हाल के versions में fonts protection को मज़बूत किया गया, और hardware details (processor core count, touchscreen input count, taskbar size आदि) के exposure को रोका गया
• Mozilla के शोध के अनुसार, इन सुधारों से unique user के रूप में पहचाने जाने की दर लगभग आधी हो गई

web functionality और privacy के बीच संतुलन

• Firefox fingerprinting में बाधा डालने और web functionality बनाए रखने के बीच संतुलन को महत्व देता है
  • उदाहरण के लिए, calendar या video conferencing tools को वास्तविक time zone information की ज़रूरत होती है
• इसलिए Firefox ज़रूरी functionality बनाए रखते हुए केवल सबसे संवेदनशील fingerprint collection paths को block करता है
• अगर किसी विशेष site पर समस्या आती है, तो उपयोगकर्ता सिर्फ उसी site के लिए protection feature को बंद कर सकते हैं
• लक्ष्य है user experience को खराब किए बिना मज़बूत privacy protection देना

आगे की योजना और उपयोगकर्ता का नियंत्रण

• Private Browsing या ETP Strict mode का उपयोग करने पर Firefox पहले से ही background में tracking protection चलाता है
• यह चरण बिना अतिरिक्त extensions या settings के अपने-आप काम करने वाले smart protection system के निर्माण में एक महत्वपूर्ण milestone है
• Mozilla आगे भी user-centric web experience और privacy protection को मज़बूत करने की दिशा में काम जारी रखेगा
• नवीनतम Firefox में upgrade करने पर उपयोगकर्ता अपनी online privacy पर सीधे नियंत्रण रख सकते हैं

[GN⁺]

Hacker News की राय

• मैं हमेशा सिर्फ private browsing का ही उपयोग करता हूँ, लेकिन मुझे पता है कि इसका tracking-रोधी असर बहुत बड़ा नहीं होता
  इसलिए यह देखकर अच्छा लग रहा है कि ऐसे फीचर आखिरकार लागू होने शुरू हो गए हैं
  अनाम रूप से ब्राउज़ करने के लिए बहुत ज़्यादा मेहनत करनी पड़ती है, और कंपनियाँ मेरे tracking से इनकार करने के बाद भी इसे दरकिनार करने की कोशिश करती हैं
  सिर्फ इस रवैये से ही उनकी असलियत समझ में आ जाती है — यह लालची और अपारदर्शी व्यवहार है
  अच्छा होता अगर cookies को अस्वीकार करने पर tracking को पूरी तरह गैरकानूनी बना दिया जाता, लेकिन हकीकत में शायद कंपनियाँ Firefox की ऐसी सुरक्षा सुविधाओं को रोकने के लिए lobbying करेंगी

  • “Temporary Containers” extension इस स्थिति के लिए बिल्कुल उपयुक्त है
    आप login वाले निजी sites, tracking containers, और बंद करते ही मिट जाने वाले अस्थायी containers को अलग-अलग मैनेज कर सकते हैं
    Temporary Containers extension लिंक
  • private browsing की जगह profiles feature का उपयोग करके देखना भी अच्छा है। हर profile पूरी तरह अलग रहती है
  • Tor का उपयोग करने का तरीका भी है। बस अच्छा होता अगर Reddit account बनाने का कोई तरीका होता
  • मैं चाहता हूँ कि ‘छोटे लेकिन ईमानदार कर्मचारी’ सामने आएँ
    पैसे के लिए privacy का उल्लंघन करने वाले फीचर लागू करने वाले developers भी आखिरकार corporate structure का हिस्सा हैं
    ऐसे सिस्टम को बहुत सारे धुंधले नैतिक क्षेत्र में काम करने वाले लोग सहारा दे रहे हैं
  • यूरोप का GDPR पहले से ही इस समस्या को कवर करता है
    सिर्फ cookies ही नहीं, बल्कि personal data collection के पूरे दायरे के लिए consent की आवश्यकता वाला नियम है
    अब दूसरे क्षेत्रों में भी इसी तरह के कानून बन रहे हैं

• Firefox का ऐसे फीचर्स पर resources खर्च करना अच्छा फैसला है
  लेकिन users कम होने की वजह से browser fingerprinting के मामले में यह नुकसान में है

  • पहले किसी ने दिखाया था कि browser statistics कितनी विकृत हो सकती हैं
    Safari या Firefox analytics tools में ठीक से दिखाई नहीं देते, इसलिए वे वास्तव में जितने महत्वपूर्ण हैं, उससे कम लगते हैं
    client-side और server-side statistics को मिला देने पर बड़ा अंतर आ सकता है
  • मैं tracking का शिकार हो जाऊँ तब भी security को ज़्यादा महत्वपूर्ण मानता हूँ
    NoScript और uBlock को साथ में उपयोग करने पर malvertising से सुरक्षित रहा जा सकता है
    malvertising उदाहरण wiki
  • कभी-कभी मुझे लगता है कि मेरा User Agent मुझे पहचानने में मदद करता है
    अगर मैं Chrome/Windows होने का दिखावा करूँ तो privacy के लिए अच्छा होगा, लेकिन अगर सब ऐसा करें तो लगेगा जैसे Firefox या Linux users हैं ही नहीं
    मैं यह दिखाना चाहता हूँ कि Firefox और Linux users मौजूद हैं
  • अगर fingerprinting को पूरी तरह नहीं रोका गया, तो उल्टा अलग पहचान और ज़्यादा उभरकर दिख सकती है

• मैंने पहले एक ऐसा extension आज़माया था जो ‘हर tab के लिए नया random profile’ बनाता था, और इससे tracking algorithms पूरी तरह गड़बड़ा गए थे
  लेकिन login फीचर बार-बार टूट जाता था, इसलिए आखिरकार मैंने इसका उपयोग बंद कर दिया

  • शायद वह extension Temporary Containers ही था
  • संबंधित settings guide इस GitHub दस्तावेज़ में है

• आजकल Cloudflare-protected sites Firefox में ठीक से काम नहीं करतीं
  इसलिए मैंने ऐसी sites पर जाना ही बंद कर दिया है, लेकिन लगता है कि यह लड़ाई आखिरकार हार ही जाएँगे

  • मेरा मानना है कि Cloudflare के security widgets ने पूरे internet को नुकसान पहुँचाया है। इन्हें कोई दूसरा विकल्प देना चाहिए
  • जानना चाहूँगा कि लक्षण क्या हैं। क्या यह सिर्फ Cloudflare के aggressive protection mode में होता है? मैं सिर्फ Firefox उपयोग करता हूँ, लेकिन मैंने ऐसी समस्या महसूस नहीं की
  • मैं Mullvad VPN के ज़रिए सिर्फ Firefox उपयोग करता हूँ और मुझे कभी Cloudflare या CAPTCHA की समस्या नहीं हुई
  • संभव है कि तुम्हारी समस्या किसी खास setting की वजह से हो। ऐसा नहीं है कि सभी Cloudflare sites Firefox में काम नहीं करतीं

• पहले जब मैंने fingerprint.com पर test किया था, तो resistFingerprinting और VPN उपयोग करने पर भी hash लगभग नहीं बदलता था
  सिर्फ profile बदलने पर फर्क पड़ता था, और 2021 में तो हर restart पर बदल जाता था

  • शायद fingerprint.com ने अपने detection algorithm को और मजबूत किया है
    मेरे मामले में कुछ दिनों तक वही profile पहचानी जाती है, फिर अचानक “पहली बार दिखा user” बन जाता है
    पता नहीं कोई TTL policy भी है या नहीं
    दूसरी ओर Mullvad Browser में ऐसा लगता है जैसे मुझे दुनिया भर के random users के साथ group कर दिया जाता है

• मेरे fingerprint पर सबसे बड़ा असर canvas size का पड़ता है
  full-screen के हिसाब से की गई custom setting की वजह से यह एक अनोखा size बन जाता है
  Firefox की सुरक्षा सुविधा नई window को default size में खोलती है, लेकिन मेरी toolbar setting की वजह से यह अभी भी अलग दिखती है
  अच्छा होता अगर हर container में 5~10 pixel की random error margin जोड़ने वाला फीचर होता

  • canvas fingerprinting को रोकने के लिए
    about:config में privacy.resistFingerprinting को true,
    privacy.resistFingerprinting.letterboxing को true पर सेट कर दें
    फिर यह common size में फिट हो जाएगा और ग्रे letterbox borders दिखेंगी
  • अब मुझे भी समझ में आया कि paywall limit क्यों लग रही थी
    Tree Style Tab की वजह से असामान्य aspect ratio बन गया था
    मैं चौड़ाई बदलकर प्रयोग करने वाला हूँ

• मैंने Firefox की fingerprinting protection items की सूची देखी (official docs लिंक)
  developer के नज़रिए से यह काफ़ी चौंकाने वाली थी। खासकर canvas data modification थोड़ा आक्रामक लगा

  • यह सच में वैसी स्थिति है जैसे “हमारे पास अच्छी चीज़ें क्यों नहीं हो सकतीं”

• यह अफ़सोस की बात है कि default रूप से Firefox canvas imageData API उपयोग करने वाली sites को तोड़ देता है
  user से permission माँगने का कोई तरीका नहीं है, इसलिए consent प्रक्रिया देना मुश्किल है

  • जानना चाहूँगा कि कौन-सी sites प्रभावित होती हैं

• मैं पहले से ही CanvasBlocker, Decentraleyes, NoScript Security Suite का उपयोग कर रहा हूँ
  अच्छा होगा अगर और सुरक्षा फीचर्स जुड़ें, लेकिन Waterfox में आने में शायद समय लगेगा

  • लेकिन ऐसे अतिरिक्त add-ons उल्टा tracking को और आसान बना सकते हैं
    canvas blocking, JS disable करना, असामान्य network requests आदि की वजह से पहचान संबंधी entropy बढ़ जाती है
    Tor project भी इसी कारण ad block install करने की सिफारिश नहीं करता
  • मैंने भी पहले बहुत सारी anti-tracking settings आज़माई थीं, लेकिन sites बहुत बार टूट जाती थीं, इसलिए आखिरकार छोड़ दिया
    usability और protection level के बीच संतुलन ज़रूरी है

• मुझे लगता है कि images में noise जोड़ने का तरीका जोखिम भरा है
  JavaScript से image editing फीचर बनाते समय data खराब हो सकता है

  • फिर भी, लेख के मुताबिक इस फीचर को site के आधार पर disable किया जा सकता है