Śledzenie internautów to fascynujące zagadnienie. Niby wszyscy wiemy o ciasteczkach i innych metodach śledzenia, ale od czasu ktoś ujawnia jakieś liczby lub odkrycia i nagle jesteśmy zdziwieni. Ojej! To już do tego doszło?

Śledzenie pod lupą na milionie stron

Teraz znów możemy się zdziwić, bo naukowcy z Princeton University opublikowali wyniki szeroko zakrojonych badań na temat śledzenia w sieci. Pod lupę badaczy trafił milion stron internetowych, a na każdej z nich dokonano 15 pomiarów.

Badano m.in. śledzenie za pomocą ciasteczek, ale także śledzenie bezciasteczkowe (za pomocłą tzw. fingerprintingu), działanie narzędzi prywatności w przeglądarkach oraz wymienianie się danymi o ruchu pomiędzy różnymi stronami (cookie syncing). Pomiarów na stronach dokonywano za pomocą otwartego i już wcześniej wypróbowanego narzędzia OpenWPM.

Tak! Google Cię śledzi!

Jedno z ciekawszych ustaleń badaczy dotyczy firmy Google. Niejedna osoba sądzi, że Google śledzi nas cały czas, ale badacze z Princeton University obiektywnie to potwierdzili. Aż 70% z miliona najpopularniejszych stron korzysta z Google Analytics. Dodatkowo 50% stron korzysta z DoubleClick, która przecież jest usługą Google.

>> Zobacz także: Darmowy poradnik DI: Firma bezpieczna w internecie

Długi lecz cienki ogon

Badacze ustalili też, że interesująca jest struktura podmiotów zajmujących się śledzeniem. Tworzy ona "ogon" długi ale cienki. Łączna liczba "podmiotów trzecich" śledzących nas na różnych stronach internetowych to 81 tysięcy, ale tylko 123 podmioty z tych 81 tysięcy są obecne na więcej niż 1% stron. Tylko Google, Facebook i Twitter należą do podmiotów, które są obecne na więcej niż 10% stron. Może to być niepokojące bo oznacza to, że naprawdę istnieją podmioty śledzące nas wyjątkowo często. Z drugiej strony naukowcy zauważają, że jeśli opinia publiczna będzie wpływać na te największe podmioty, może to naprawdę coś zmienić w praktykach śledzenia. Twórcom narzędzi do ochrony prywatności też jest wówczas łatwiej. 

Śledzenie bez ciasteczek się rozwija!

Poza tym badacze z Princeton badali "bezciasteczkowe" metody śledzenia, które są o tyle kontrowersyjne, że użytkownik nie może przed nimi uciec (a przynajmniej nie tak łatwo jak przed ciasteczkami). Te metody często określa się mianem "fingerprinting", a chyba najbardziej znany jest canvas fingerprinting. Mówiąc najprościej metoda polega na tym, że przeglądarka użytkownika rysuje niewidoczny obrazek, a każde urządzenie narysuje go nieco inaczej.

Warto wiedzieć,  że fingerprinting obejmuje dziś też inne metody jak AudioContext fingerprinting albo WebRTC fingerprinting. Pierwsza z tych dwóch metod wykorzystuje sposób przetwarzania dźwięku przez przeglądarkę aby zrobić ślad konkretnego urządzenia. Badacze ustalili, że Canvas fingerprinting był stosowany przez ponad 14 tys. stron. Fingerprinting oparty o audio był stosowany na 67 stronach. Badacze podkreślają, że skuteczność tej drugiej metody wymaga jeszcze dodatkowych badań.

Po co takie badania? 

Powyższe ustalenia powinny być istotnym sygnałem dla internautów i regulatorów zasad ochrony danych. Kilka lat temu dyskutowano o ciasteczkach i efektem tych dyskusji były zmiany w prawie, a także inicjatywa Do Not Track dotycząca przeglądarek. Nawet jeśli ta inicjatywa nie osiągnęła tego co powinna to jednak przyczyniła się do poruszenia tematu ciasteczek w mediach i do zwiększenia świadomości "zwykłych użytkowników" w zakresie śledzenia.

W marcu tego roku Dziennik Internautów pisał o operatorze ukaranym w USA za tzw. superciasteczka. Był to ciekawy przykład reakcji władz na nowatorskie, niekontrolowane metody śledzenia. Niestety jednocześnie ta sprawa ukazała jak duże może być opóźnienie w reakcji organów państwa na tego typu zdarzenia. Operator został ukarany za coś, co miało miejsce jeszcze w roku 2014.

Warto zaznacztyć, że unijne organy ochrony danych już przyglądały się śledzeniu bez ciasteczek. Zdaniem regulatorów należałoby rozciągnąć zasady dotyczące ciasteczek na inne technologie śledzenia. Taka propozycja znalazła się w opinii przygotowanej przez Grupę Roboczą Artykułu 29, o czym pisaliśmy o tym w tekście pt. Śledzenie internautów bez ciasteczek też powinno wymagać ich zgody.  

Czytaj także: Prywatność w sieci nie musi ginąć, ale liczy się transparentność – wywiad z badaczem Łukaszem Olejnikiem