Chromium 148で判明！Math.tanhからOSが特定される「フィンガープリント」のリスクについて

Chromium 148以降、Math.tanhの挙動を通じて実行中のOSを特定される可能性（フィンガープリント）が浮上しています。Webブラウザの細かな差異が悪用される新たなケースとして、開発者は警戒が必要です。

超越関数の正しい丸め処理を推進する理由がまた一つ増えたな。最近知ったんだけど、この問題はもうほぼ解決してるらしいぞ。[1]

[1] https://arith2026.org/program.html (2nd keynote)

解説記事ありがとう、claude

入力が同じなら tanh の結果もOSごとに決まる。macOSだと偽装しても、返ってくる計算結果がLinuxのものならUser-Agentと矛盾する。

彼ら（というよりこれを書いたLLM）は、これがブラウザのバージョン範囲を特定するフィンガープリントとして使える可能性を見落としてるね。こっちの方が少し面白い。大抵のユーザーはOSを偽装するためにUser-Agentヘッダーを書き換えたりしないし、フィンガープリントの手法もOSの特定より、断片的にユニークな特徴を見つけることを重視してるからね。

興味深い発見だけど、もう少しまともな人間が記事を書いてくれたらよかったのに。LLM臭が強すぎてスルーできないレベルだよ。

なかなか賢いやり方だね。AIによるフィンガープリント手法の分析記事を書いて、騒ぎ立てて修正を促すことで、結果的に自分たちのスクレイピングビジネスで稼ぎやすくするっていう。こういう会社がいなければ、フィンガープリントなんてここまで普及せず、インターネットはもっとマシな場所になってたはず。

個人的には、フィンガープリントの技術を裏側（fingerprint.js系など）から発信している記事の方が好きだな。少なくとも彼らの動機は明確だからね。

好きなJSインジェクションプラグインでこれ突っ込めばいいよ。

    let oldTanh = Math.tanh;
    Math.tanh = x => oldTanh(x) + Math.random()/10000000;

よくわからないんだけど、Chromeって実行可能コードだけで数百MBもあるよね。ユーザーランドの半分くらいは静的にリンクしてると思ってた。あと、tanhってただの関数じゃなくて、JS JITがCPU命令に展開する組み込み関数だと思ってたんだけど。それもフィンガープリントになり得るってことか。でも数学的な操作のために dlsym() 関数を呼び出す必要があるのは変な感じがする。

Tor Browser（/mullvad-browser）でさえOSを隠蔽するのを諦めちゃったからね。そうすべきじゃないという意見もあるけど、フィンガープリントの手法が多すぎるんだろう。

最近のglibcはCORE-MATHの正しく丸められたtanhを使ってるから、記事で引用されている値とは結果が異なるよ。他の超越関数を適切な丸め処理をしつつ現実的な速度で実装できるかは今のところ不透明だし、他の関数もそれぞれ独自のフィンガープリントを持ってるんだよね。

そもそも、この戦いは勝てるものなのかな？十分な数の関数を実行して、処理時間の比較（xはyより2.5かかる等）や丸め誤差（今回のようなもの）を組み合わせれば、OSや使用しているマシンそのもの、さらにはマシン上で走っている他のタスクまで特定できる気がする。これを止める現実的な方法なんてあるのか疑問だよ。せいぜい少し難しくするくらい？社会や法律が追いつく必要があると思う。ドアの鍵と同じだよ。鍵は人を止めない。少しの人間を思いとどまらせ、多少遅らせることはできても、決意した人間なら（おそらく非常に簡単に）家に侵入できる。だからこそ、それが正しくないと声を上げ（盗品と思われるものを買わない、そうする人を避けるなど）、法律が介入する必要がある（侵入は犯罪であり、犯人を追跡して止めるためにリソースを割く）。同じアプローチがここでも必要。個人の追跡を違法にして、その利益を享受する企業で働く人を社会が非難するような流れが必要だと思う。

これがいつか https://coveryourtracks.eff.org/ に追加されることを期待してる。そうすれば、一般的なユーザーと比べて自分の数学関数がどれだけユニークなのか確認できるからね。