Cloudflare Turnstile يفشل في المتصفحات التي تحجب بصمة WebGL

حلقة لا نهائية

لا تزال أداة Cloudflare Turnstile، التي تطلب من الزوار تأكيد أنهم بشر، تدور في حلقة لا نهائية منذ نحو أسبوع في متصفح مبني على WebKitGTK، كما يكتب مؤلف مدونة hacktivis.me. ويمنع الخلل الوصول إلى عدد كبير من المواقع، وقد ازداد الوضع سوءاً في الآونة الأخيرة. والسبب، بحسب المقال، أن Turnstile يريد بصمة الجهاز عبر WebGL، وهو ما يرى المؤلف أن لا غاية له سوى التتبع.

تفسير Cloudflare نفسه

يقتبس المقال الرسالة التي يعرضها Turnstile على الزوار المتأثرين: «يستخدم Turnstile بصمة المتصفح للتحقق من أنك إنسان. أدوات الخصوصية التي تحجب البصمة أو تعشوّضها تجعل متصفحك يبدو كروبوت يحاول إخفاء هويته. السماح مؤقتاً بالبصمة لهذا الموقع سيحل المشكلة.» وقد حُجبت هذه البصمة في WebKit منذ سنوات، يلاحظ المؤلف، وهي عدوانية لدرجة أن آبل نفسها تحجبها، وليست من الحمايات التي يمكن تعطيلها بسهولة في المحرك. والنتيجة العملية، كما يكتب، أن Cloudflare حجبت فعلياً كل المتصفحات المبنية على WebKitGTK، مع استثناء محتمل لـ Safari.

حل فايرفوكس الناقص

وفي سياق متصل، يشير المقال إلى تقرير خطأ في موزيلا، Bugzilla#1916271، يسجل أن Gecko يكشف للمواقع خصائص GPU منقّاة، بينما يعيد WebKit وBlink نصوصاً ثابتة لجميع المستخدمين. ويلاحظ المؤلف أيضاً أن privacy.resistFingerprinting غير مُفعَّل حتى عند اختيار خيار الحماية المعززة الصارمة في إعدادات فايرفوكس. وإذا فُعِّل هذا الإعداد، يرجّح أن مستخدمي فايرفوكس المهتمين بالخصوصية قد لا يجتازون التحقق من الجهاز لدى Cloudflare مستقبلاً.

لماذا يهم ذلك

توضح هذه الحادثة مقايضة أوسع: فكشف الروبوتات المعتمد على بصمة الجهاز يضع المتصفحات ذات الحماية القوية للخصوصية في موقع الروبوت. وقد كتب المؤلف سابقاً عن حجب نطاقات عناوين Cloudflare، وهو يرى في هذه الخطوة استمراراً للاتجاه نفسه. وادعاؤه ضيق ومحدد: اشتراط WebGL بصمة لأجل التتبع لا للتحقق، والثمن يدفعه مستخدمو محرك مفتوح المصدر واسع الانتشار.