Cloudflare Turnstile не працює в браузерах, що блокують WebGL-відбиток

Нескінченний цикл

Cloudflare Turnstile — віджет, який просить відвідувачів підтвердити, що вони люди, — уже близько тижня крутиться безкінечно в браузері на базі WebKitGTK, пише автор блогу hacktivis.me. Збій блокує доступ до чималої кількості сайтів, і останнім часом ситуація погіршилася. Причина, за словами автора, у тому, що Turnstile хоче отримати відбиток пристрою через WebGL — а це, на його думку, не має іншої мети, крім стеження.

Власне пояснення Cloudflare

Публікація цитує повідомлення, яке Turnstile показує постраждалим відвідувачам: «Turnstile використовує зчитування відбитка браузера, щоб переконатися, що ви людина. Інструменти приватності, які блокують або рандомізують відбиток, роблять ваш браузер схожим на бота, що намагається приховати свою особу. Тимчасове дозволення зчитування відбитка для цього сайту вирішить проблему.» Таке знімання відбитків у WebKit заблоковано вже роками, зауважує автор — настільки агресивне, що його блокує навіть Apple, — і це не та приватність, яку в рушії можна легко вимкнути. Практичний висновок, пише він, такий: Cloudflare фактично заблокував усі браузери на WebKitGTK, імовірно, залишивши виняток лише для Safari.

Напіввиправлення Firefox

До того ж публікація посилається на звіт про помилку Mozilla, Bugzilla#1916271, у якому зазначено, що Gecko розкриває сайтам санітизовані характеристики GPU, тоді як WebKit і Blink повертають усім користувачам жорстко прописані рядки. Автор також зауважує, що privacy.resistFingerprinting не вмикається навіть тоді, коли в налаштуваннях Firefox обрано суворий режим посиленого захисту приватності. Якщо ж цей параметр увімкнути, припускає він, користувачі Firefox, які дбають про приватність, у майбутньому можуть не пройти перевірку пристрою від Cloudflare.

Чому це важливо

Цей епізод добре ілюструє ширший компроміс: виявлення ботів, яке спирається на відбиток пристрою, ставить браузери з сильним захистом приватності в позицію ботів. Автор і раніше писав про блокування діапазонів IP-адрес Cloudflare і сприймає цей крок як продовження того самого напряму. Його твердження вузьке й конкретне: вимога WebGL — це зчитування відбитка для стеження, а не перевірка, і платять за це користувачі популярного рушія з відкритим кодом.