¿Qué es la huella digital de Canvas y cómo funciona?

¿Qué es el Canvas Fingerprinting y cómo puede rastrearte?

Canvas es un elemento HTML5 diseñado para renderizar gráficos ráster mediante JavaScript. A primera vista, está pensado para animaciones y efectos, pero en realidad, también se utiliza para fines menos obvios, concretamente, crear una huella digital de tu dispositivo.

Canvas Fingerprinting es un método de rastreo de usuarios que emplea la API de HTML5 Canvas para generar una huella digital única de un dispositivo. A diferencia de las cookies, que se pueden eliminar o bloquear fácilmente, este método permite a los sitios web y a las redes publicitarias identificarte y rastrearte.

A menudo, los usuarios simplemente no son conscientes de que están siendo rastreados y tienen medios limitados para evitarlo. Los navegadores proporcionan automáticamente parte de sus datos para la visualización correcta de los sitios web y pueden ejecutar discretamente un script para renderizar una imagen. Por lo tanto, incluso si eliminas o bloqueas las cookies, los sitios web aún pueden reconocerte.

Para combatir este método, puedes instalar extensiones de navegador que alteren los datos utilizados para la creación de la huella digital. También puedes configurar los ajustes de privacidad de tu navegador para limitar la ejecución de JavaScript. Sin embargo, todos estos métodos no son fiables. Vamos a explicarte por qué.

¿Cómo funciona el Canvas Fingerprinting?

Cada dispositivo renderiza el mismo objeto a su manera. Las diferencias existen a nivel de código y son invisibles al ojo humano. Dado que la imagen resultante renderizada es única, se puede utilizar para crear huellas digitales y rastrear a los usuarios.

Uso de gráficos

Cuando un sitio web solicita a un navegador que dibuje un objeto utilizando la API de HTML5 Canvas (por ejemplo, líneas, rectángulos, texto o imágenes con diversos elementos, colores y fondos), el resultado puede depender de numerosos factores. Estos factores incluyen el sistema operativo, la versión del navegador, las fuentes instaladas y los controladores gráficos. Todas estas características influyen en cómo aparecerá la imagen final, haciéndola única para cada dispositivo.

Hashing de imágenes

Para facilitar la transmisión, comparación, búsqueda y almacenamiento, la imagen generada se convierte en un código hash, que es único para el dispositivo específico y su configuración. Estos hashes se utilizan luego como un componente de la huella digital.

Rastreo de usuarios

Las huellas digitales recopiladas mediante este método son difíciles de alterar o falsificar. Incluso si un usuario borra su caché o cambia la configuración del navegador, su huella digital única puede permanecer inalterada. El hash se almacena en un servidor y se utilizará para la identificación del usuario durante las visitas posteriores al sitio web. Dado que el hash es único para cada dispositivo, permite a los sitios web y a las redes publicitarias rastrear a los usuarios.

Comprueba qué información de Canvas pueden recopilar los sitios web en browserleaks.com

Qué hace único al Canvas Fingerprinting

Con la aparición de un gran número de dispositivos con diferentes resoluciones, los desarrolladores comenzaron a crear filtros para el procesamiento de imágenes para mejorar su apariencia final. Como resultado, cuando reciben instrucciones idénticas, diferentes dispositivos pueden renderizar objetos de manera diferente.

Filtros de matriz y su función en la obtención de imágenes

Estos filtros se aplican para mejorar la calidad y la nitidez de la imagen. El filtro más notable es el suavizado de bordes (anti-aliasing), pero hay otros, como las sugerencias (hints) que se utilizan al renderizar fuentes.

Del mismo modo, todas las fuentes están definidas por fórmulas matemáticas específicas y constan de glifos, que se pueden describir como conjuntos de contornos o curvas cerradas. Por ejemplo, la letra minúscula “i” consta de dos glifos: uno para el punto y otro para el cuerpo de la letra. Estos glifos, también conocidos como contornos, se rellenan luego con píxeles para crear la forma final del carácter.

Diversas métricas de glifos

La optimización de fuentes (font hinting) y su función

Además de los datos matemáticos básicos que definen el contorno de cada glifo específico, las fuentes pueden almacenar sugerencias (hints) adicionales. Las sugerencias son instrucciones que se ejecutan cuando los glifos se renderizan en la pantalla. Estas instrucciones ajustan ciertos puntos que definen la forma de las letras para garantizar que estén correctamente alineadas con la cuadrícula en la que se muestra el glifo. Esto garantiza que la fuente se vea igual en diferentes dispositivos y pantallas, independientemente de la resolución o la densidad de píxeles.

Suavizado de bordes de pantalla

El suavizado de bordes (anti-aliasing) consiste en añadir píxeles grises para difuminar los bordes de cada glifo. Si haces zum en una página, notarás que los bordes de las letras curvas no son perfectos, sino dentados. El filtro suaviza los límites del objeto y hace que parezcan más suaves porque nuestros ojos promedian las diferencias de tono.

La singularidad de cada huella digital basada en Canvas no radica en la imagen final que vemos, sino en cómo procesa cada dispositivo los tonos y el suavizado de bordes. Cuando dos dispositivos reciben la misma tarea de renderizado, los píxeles en los bordes tendrán tonos ligeramente diferentes, entre otras diferencias. Estas pequeñas variaciones en el procesamiento hacen que la imagen nos parezca idéntica a nosotros, pero no a los sitios web.

Por qué se utiliza el hashing para la huella digital

El hashing es el proceso de convertir datos en un valor único de longitud fija (código hash), lo que permite comparaciones de datos eficientes y rápidas. Esto es particularmente importante para la creación de huellas digitales, ya que ayuda a crear huellas digitales de dispositivos únicas basadas en imágenes generadas a través de Canvas.

El hashing se utiliza por varias razones:

• Singularidad: Las funciones hash generan valores únicos para diferentes datos de entrada, lo que permite una identificación de datos inequívoca, incluso si los datos son muy similares.

• Determinismo: El mismo conjunto de datos de entrada siempre generará el mismo hash.

• Irreversibilidad: Las funciones hash son unidireccionales, lo que significa que puedes convertir cualquier dato en un hash pero no puedes revertir el hash para obtener los datos originales.

• Consistencia: Una función hash siempre devuelve el mismo resultado si los datos de entrada permanecen sin cambios.

Comparación de huellas digitales utilizando hashes

Para crear huellas digitales basadas en Canvas, los sitios web envían instrucciones idénticas para renderizar objetos gráficos. Sin embargo, recuperar y procesar un volumen tan grande de imágenes es ineficiente. En su lugar, se utiliza una función hash para reducir el tamaño de los datos preservando su singularidad.

Dado que incluso las pequeñas diferencias en las imágenes generadas darán como resultado hashes significativamente diferentes, este es un método excelente para identificar y rastrear visitantes utilizando los valores únicos de los códigos hash. Además, los cálculos de las funciones hash son casi instantáneos, lo que permite una generación y comparación rápida de huellas digitales.

Crear una base de datos de hashes para falsificar huellas digitales es prácticamente imposible debido a la amplia variedad de instrucciones y funciones hash. Además, los sitios web pueden cambiarlas en cualquier momento para identificar a los visitantes de diferentes maneras.

Añadir ruido de hardware

El ruido de hardware se refiere a pequeñas desviaciones de software de los valores del sistema que influyen en la generación de objetos Canvas. Este método hace que la huella digital sea más difícil de reconocer.

La idea es que cada vez que un sitio web accede a la API de Canvas, una aplicación especial o un navegador antidetección intercepta la solicitud y añade ruido aleatorio a los datos. Como resultado, el hash generado ya no ayuda a identificar tu dispositivo. El problema, sin embargo, es que el ruido de hardware simultáneamente hace que la huella digital no sea estándar. Esto significa que no puedes simplemente añadir parámetros de ruido aleatorios, ya que esto haría que la huella digital resultante destacara demasiado entre las demás. Es por eso que eludir las solicitudes de Canvas es una tarea extremadamente compleja.

Utilizando sus propios algoritmos matemáticos, Octo Browser introduce ruido aleatorio pero consistente en Canvas, lo que afecta al resultado de la verificación de datos CRC de la imagen. Estos cambios son invisibles a simple vista, pero el hash de la imagen será diferente. Después de esto, la huella digital se vuelve tanto única como “regular” para cada perfil que ejecutes. Los sitios web perciben estos perfiles virtuales como visitantes habituales, mientras que tu dispositivo permanece protegido contra el rastreo.

La comprobación se ha superado sin alertas: esto es lo que debes esperar de un navegador antidetección

Huella digital sin ruido de hardware

Añadir ruido de hardware aleatorio no siempre está justificado. Los rastreadores web comparan el hash generado con millones de otros valores estándar. Con una base de datos tan amplia, los sitios web pueden reconocer el ruido generado aleatoriamente. Es por eso que la regularidad es una característica tan importante como la singularidad.

Si desactivas la adición de ruido de hardware y la interceptación de solicitudes de la API de Canvas, los sitios web recibirán el código hash real del dispositivo. Esto puede ser útil cuando los sitios web reaccionan negativamente a un Canvas completamente único o bloqueado.

Uso de perfiles en múltiples dispositivos

Para perfiles virtuales con la configuración de Canvas activada, el hash no seguirá siendo consistente en los lanzamientos en diferentes dispositivos con hardware variado.

Parámetros de la huella digital en Octo Browser

En Octo Browser, el ruido de hardware añadido es constante, pero actúa como un filtro sobre la huella digital existente de Canvas. Por lo tanto, si el dispositivo cambia, el valor del hash resultante también cambia.

He aquí un ejemplo: iniciar el mismo perfil virtual en dos dispositivos diferentes. A pesar del ruido de hardware añadido en el perfil, los resultados de la verificación de Canvas difieren.

Dado que se añade ruido aleatorio a los datos, un sitio web que utilice análisis estadístico puede observar que la huella digital es 100% única

Cómo lograr una huella digital de Canvas consistente en múltiples dispositivos

Es cierto que el hardware, los controladores y las versiones del navegador de un dispositivo pueden influir en los objetos gráficos generados. Sin embargo, en escenarios del mundo real, los hashes de las huellas digitales de Canvas no siempre son únicos porque muchas PC, Mac y portátiles comparten configuraciones idénticas. Tu huella digital de Canvas se mezcla con la de otros usuarios con configuraciones similares.

Las huellas digitales de Canvas pueden diferir por varias razones:

• Unidad de Procesamiento Gráfico (GPU): Las diferentes GPU tienen arquitecturas y niveles de rendimiento variables, lo que afecta a cómo renderizan los gráficos. Algunas GPU admiten ciertas características que otras no tienen.

• Sistema operativo: Las diferentes versiones de SO pueden tener diferentes configuraciones para el manejo de gráficos.

• Controladores: Los controladores gráficos difieren entre los sistemas operativos y sus versiones, lo que afecta al renderizado.

• Navegador: Los diferentes navegadores utilizan diferentes motores de renderizado (por ejemplo, Blink en Chrome, Gecko en Firefox, WebKit en Safari). Estos motores se optimizan de manera diferente, influyendo en los resultados del renderizado.

• Actualizaciones de versión y parches: Las nuevas versiones del SO y de los controladores pueden alterar los algoritmos de renderizado. Del mismo modo, diferentes versiones del mismo navegador pueden emplear diferentes optimizaciones de renderizado.

• Ajustes de fuente: Incluso con las mismas fuentes instaladas, ajustes como el interletrado (kerning), el espaciado (tracking) y el interlineado pueden afectar a la visualización del texto en pantalla.

Todos estos factores pueden influir en cómo Canvas renderiza los gráficos, lo que genera diferencias en las huellas digitales. Sin embargo, descubrimos que los dispositivos con GPU, sistemas operativos, controladores y versiones de navegador idénticos tienen probabilidades de producir resultados idénticos.

Si necesitas huellas digitales de Canvas consistentes e invariables para trabajar de forma segura en múltiples dispositivos, intenta usar perfiles en modelos de dispositivos idénticos con hardware, controladores y sistemas operativos coincidentes. Dado que los datos utilizados para las verificaciones de Canvas provendrán del mismo hardware, las huellas digitales seguirán siendo consistentes a lo largo de las sesiones.

Dispositivos Mac

Una forma de hacer que las huellas digitales de los perfiles virtuales sean indistinguibles de las configuraciones comunes estándar es usar Octo Browser en dispositivos Mac. Dado que los modelos de Mac idénticos comparten la misma compilación de hardware, sus huellas digitales de Canvas también son casi idénticas.

Trabajo con huellas digitales de Canvas

El Canvas Fingerprinting es un método de identificación de usuarios potente y sutil. Su característica clave es que los parámetros para generar la huella digital se gestionan del lado del servidor. Como resultado, sin que el usuario lo sepa, su dispositivo puede generar varios objetos gráficos utilizando la API de Canvas, que luego se convierten en un hash. Falsificar el hash de manera efectiva es imposible sin conocer el algoritmo de hashing.

Desactivar la API de Canvas se consideraba una vez una forma sencilla de evitar la creación de huellas digitales de hardware. Sin embargo, este enfoque ahora está obsoleto. Muchos sitios web utilizan activamente la API de Canvas para funcionar correctamente, y bloquear este elemento puede levantar sospechas o incluso restringir el acceso al sitio por completo.

Por qué elegir Octo Browser

Los sistemas modernos de rastreo de sitios web están en constante evolución. El rastreo basado en Canvas a menudo se combina con otros métodos de rastreo, lo que permite la creación de una huella digital del navegador más precisa y fiable. Esto puede plantear desafíos significativos para la gestión de múltiples cuentas (multiacounting).

Con Octo Browser, tienes el control total sobre tu huella digital y puedes decidir cómo la perciben los sitios web. Si necesitas ocultar ciertos parámetros de la huella digital de tu navegador y reemplazarlos con valores únicos, puedes habilitar el ruido de hardware. Si deseas mimetizarte con la multitud, deja el ruido desactivado. De esta manera, no destacarás entre los visitantes con configuraciones de hardware similares.

Basándonos en nuestra experiencia, recomendamos evitar añadir ruido de hardware a menos que sea absolutamente necesario, ya que algunos servicios pueden reaccionar a él con sensibilidad. Ten siempre en cuenta que la verificación de hash basada en Canvas es solo uno de los factores que influyen en la decisión de un sitio web de bloquear o no tu dispositivo. Todos los parámetros del perfil virtual y su huella digital deben ser indistinguibles de los de los dispositivos reales, y aquí es exactamente donde destaca Octo Browser.