Cloudflare Turnstile נכשל בדפדפנים שחוסמים טביעת אצבע ב-WebGL

לופ אין-סופי

Cloudflare Turnstile, הרכיב שמבקש מהמבקרים לאמת שהם בני אדם, מסתובב כבר כשבוע בלופ אין-סופי בדפדפן מבוסס WebKitGTK, כותב מחבר הבלוג hacktivis.me. התקלה חוסמת גישה ללא מעט אתרים, ומצב זה החמיר לאחרונה. הסיבה, לפי הפוסט, היא ש-Turnstile רוצה טביעת אצבע של המכשיר דרך WebGL — דבר שלדעת המחבר אין לו תכלית מלבד מעקב.

ההסבר של Cloudflare עצמה

הפוסט מצטט את ההודעה ש-Turnstile מציג למבקרים שנפגעו: «Turnstile משתמש בטביעת אצבע של הדפדפן כדי לוודא שאתם בני אדם. כלי פרטיות שחוסמים או מרנדמים טביעת אצבע גורמים לדפדפן שלכם להיראות כמו בוט שמנסה להסתיר את זהותו. אישור זמני של טביעת אצבע לאתר הזה יפתור את הבעיה.» טביעת אצבע כזו חסומה ב-WebKit כבר שנים, מציין המחבר — היא אגרסיבית עד כדי כך שאפילו אפל חוסמת אותה — וזו אינה הגנת פרטיות שאפשר לכבות בקלות במנוע. המסקנה המעשית, הוא כותב, היא ש-Cloudflare חסמה למעשה את כל הדפדפנים מבוססי WebKitGTK, כנראה למעט חריגה עבור Safari.

התיקון החלקי של פיירפוקס

בהערת אגב מפנה הפוסט לדוח באגים של מוזילה, Bugzilla#1916271, שבו נרשם ש-Gecko חושף בפני אתרים מאפייני GPU מסוננים, בעוד WebKit ו-Blink מחזירים לכולם מחרוזות קבועות. המחבר גם מציין ש-privacy.resistFingerprinting אינו מופעל גם כאשר נבחרת האפשרות המחמירה להגנה משופרת על הפרטיות בהגדרות פיירפוקס. אם יופעל, הוא משער, משתמשי פיירפוקס שהפרטיות חשובה להם עלולים שלא לעבור את אימות המכשיר של Cloudflare בעתיד.

למה זה חשוב

הפרשה ממחישה פשרה רחבה יותר: זיהוי בוטים שנשען על טביעת אצבע של המכשיר מציב דפדפנים עם הגנת פרטיות חזקה בעמדה של בוטים. המחבר כבר כתב בעבר על חסימת טווחי ה-IP של Cloudflare, והוא רואה בצעד הזה המשך לאותו כיוון. הטענה שלו צרה ומדויקת: דרישת ה-WebGL היא טביעת אצבע למעקב ולא אימות, ואת המחיר משלמים משתמשי מנוע קוד פתוח נפוץ.