Cloudflare Turnstile, WebGL parmak izini engelleyen tarayıcılarda çalışmıyor

Sonsuz döngü

Ziyaretçilerden insan olduklarını doğrulamalarını isteyen Cloudflare Turnstile, WebKitGTK tabanlı bir tarayıcıda yaklaşık bir haftadır sonsuz bir döngüde dönüyor, diye yazıyor hacktivis.me blogunun yazarı. Sorun pek çok siteye erişimi engelliyor ve son zamanlarda daha da kötüleşti. Yazara göre neden, Turnstile'ın cihazın parmak izini WebGL üzerinden almak istemesi — bunun ise izlemeden başka bir amacı olmadığını belirtiyor.

Cloudflare'ın kendi açıklaması

Yazı, Turnstile'ın etkilenen ziyaretçilere gösterdiği bildirimi aktarıyor: «Turnstile, insan olduğunuzu doğrulamak için tarayıcı parmak izini kullanır. Parmak izini engelleyen veya rastgeleleştiren gizlilik araçları, tarayıcınızı kimliğini saklamaya çalışan bir bot gibi gösterir. Bu site için parmak izine geçici olarak izin vermek sorunu çözer.» Bu tür parmak izi alma WebKit'te yıllardır engelli, diye not ediyor yazar — o kadar agresif ki Apple bile engelliyor — ve motorda kolayca kapatılabilen bir gizlilik koruması değil. Pratik sonuç, diye yazıyor, Cloudflare'ın Safari için bir istisna dışında tüm WebKitGTK tarayıcılarını engellemiş olması.

Firefox'un yarım çözümü

Yeri gelmişken yazı, Gecko'nun sitelere arındırılmış GPU özelliklerini açıkladığını, WebKit ve Blink'in ise tüm kullanıcılara sabit kodlanmış dizeler döndürdüğünü kaydeden bir Mozilla hata raporuna, Bugzilla#1916271'e işaret ediyor. Yazar ayrıca Firefox ayarlarında katı gelişmiş gizlilik koruması seçilse bile privacy.resistFingerprinting'in etkinleştirilmediğini gözlemliyor. Bu ayar açıkken, gizliliğine düşkün Firefox kullanıcıları gelecekte Cloudflare'ın cihaz doğrulamasını geçemeyebilir.

Neden önemli

Bu olay daha geniş bir ödünleşimi gösteriyor: cihaz parmak izine dayanan bot tespiti, güçlü gizlilik koruması olan tarayıcıları bot konumuna düşürüyor. Yazar daha önce de Cloudflare'ın IP aralıklarını engellemeyi yazmıştı ve bu adımı aynı yönün devamı olarak görüyor. İddiası dar ve somut: WebGL zorunluluğu doğrulama değil, izleme amaçlı parmak izi alma; bedelini ise yaygın ve açık kaynaklı bir motorun kullanıcıları ödüyor.