Fingerprinting: o que seu navegador revela sobre você?

Quando acessamos um site, nosso navegador pode compartilhar mais informações do que imaginamos.

Sistema operacional, resolução da tela, idioma, fuso horário e até características da renderização gráfica são alguns exemplos.

Individualmente, essas informações podem parecer pouco relevantes. Mas, quando combinadas, podem formar uma espécie de impressão digital do navegador, conhecida como Browser Fingerprinting.

Essa técnica pode ser utilizada tanto para melhorar a segurança de aplicações quanto para rastrear usuários, mesmo sem depender de cookies ou autenticação.

Mas como isso funciona na prática?

Como funciona o Browser Fingerprinting?

O Browser Fingerprinting consiste em coletar características do navegador e do ambiente em que ele está sendo executado.

Essas informações são combinadas para criar uma identificação que pode ajudar a reconhecer o mesmo ambiente em diferentes acessos.

Existem diversas técnicas para isso, mas vamos conhecer duas abordagens: a coleta de informações via JavaScript e o Canvas Fingerprinting.

1. Coletando informações com JavaScript

Uma das formas mais simples de construir um fingerprint é utilizar APIs disponibilizadas pelo próprio navegador.

Com poucas linhas de JavaScript, conseguimos coletar algumas características do ambiente:

function getDeviceInfo() {
  return {
    userAgent: navigator.userAgent,
    language: navigator.language,
    platform: navigator.platform,
    timezone: Intl.DateTimeFormat()
      .resolvedOptions().timeZone,
    screenWidth: screen.width,
    screenHeight: screen.height,
    cores: navigator.hardwareConcurrency,
  };
}

console.log(getDeviceInfo());

Nesse exemplo, estamos coletando informações como navegador, plataforma, idioma, fuso horário, resolução da tela e quantidade de processadores lógicos disponibilizada pelo navegador.

Esses dados podem ser combinados e processados por uma função de hash, como SHA-256, para gerar uma identificação.

Entretanto, o hash não garante que um dispositivo seja identificado de forma única. Dois ambientes podem apresentar características semelhantes, e mudanças nas configurações podem alterar o resultado.

Também é importante lembrar que os navegadores limitam algumas informações para proteger a privacidade dos usuários.

2. Canvas Fingerprinting

Outra técnica interessante é o Canvas Fingerprinting.

Nesse caso, utilizamos o elemento <canvas> do HTML para desenhar textos e elementos gráficos, normalmente sem exibi-los ao usuário.

O detalhe é que diferentes combinações de navegador, sistema operacional, fontes e hardware gráfico podem produzir pequenas diferenças na renderização.

Podemos observar isso com um exemplo simples:

function getCanvasFingerprint() {
  const canvas = document.createElement("canvas");
  canvas.width = 300;
  canvas.height = 100;

  const ctx = canvas.getContext("2d");

  if (!ctx) return null;

  ctx.font = "16px Arial";
  ctx.fillStyle = "#069";
  ctx.fillText("Fingerprint Test", 15, 30);

  return canvas.toDataURL();
}

console.log(getCanvasFingerprint());

O método toDataURL() retorna uma representação da imagem renderizada, que pode ser utilizada como entrada para uma função de hash.

Assim, pequenas diferenças na renderização podem resultar em hashes diferentes.

Vale destacar que o Canvas Fingerprinting também depende de JavaScript e que diferentes dispositivos podem produzir resultados idênticos.

Fingerprinting é uma ameaça à segurança?

Não necessariamente.

O fingerprinting é uma técnica, e seu impacto depende da finalidade para a qual é utilizado.

Em aplicações financeiras, por exemplo, pode ajudar a identificar tentativas suspeitas de acesso, detectar bots ou reconhecer padrões associados a fraudes.

Por outro lado, também pode ser utilizado para rastrear usuários entre sessões e sites, mesmo quando eles removem cookies ou utilizam navegação anônima.

Isso acontece porque a identificação não depende exclusivamente de informações armazenadas no navegador, mas também das características do próprio ambiente.

Por esse motivo, o fingerprinting levanta discussões importantes sobre privacidade e proteção de dados, incluindo a LGPD.

Como se proteger do Browser Fingerprinting?

Uma das formas de limitar a coleta de informações é desabilitar o JavaScript.

Como muitas técnicas de fingerprinting dependem da execução de scripts, essa medida pode impedir a coleta de diversos sinais, incluindo os utilizados no Canvas Fingerprinting.

Mas existe um trade-off.

Grande parte das aplicações modernas depende de JavaScript para funcionar corretamente. Ao desabilitá-lo, podemos perder funcionalidades, comprometer interfaces ou até impedir o funcionamento de determinados sites.

Existem alternativas menos restritivas, como:

• Utilizar navegadores com proteção contra rastreamento e fingerprinting.
• Manter o navegador atualizado.
• Evitar extensões desnecessárias, que podem aumentar a superfície de identificação.
• Revisar as configurações de privacidade do navegador.

Nenhuma dessas medidas garante anonimato completo.

Além disso, desabilitar JavaScript não impede a coleta de informações transmitidas nas requisições HTTP ou de características da conexão.

Considerações finais

O Browser Fingerprinting mostra como informações aparentemente simples podem ganhar outro significado quando combinadas.

Para desenvolvedores, pode ser uma ferramenta interessante na construção de mecanismos de segurança e prevenção de fraudes.

Para usuários, representa mais um motivo para entender quais informações são expostas durante a navegação.

E aqui temos um trade-off importante: quanto mais informações uma aplicação coleta para reconhecer um ambiente, maiores podem ser os impactos sobre a privacidade.

O desafio não é apenas identificar dispositivos, mas entender quando essa identificação é realmente necessária e quais limites devemos estabelecer.

No desenvolvimento de software, segurança e privacidade precisam caminhar juntas.