安全与隐私smitop.com
Reddit 网站利用 DRM 进行浏览器指纹识别
Reddit's website uses DRM for fingerprinting
2020 — 2022，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
这篇文章分析了 Reddit 网站如何利用浏览器 DRM（如 Widevine）相关接口进行用户指纹采集和机器人检测。作者发现新版 Reddit 嵌入了 White Ops 的反欺诈脚本，会检测 DevTools 是否打开、已安装的语音、Chrome 扩展等多种环境信息来生成指纹。
为什么经久不衰：它揭示了浏览器指纹技术的隐蔽性和 Web API 过度暴露的问题，对关注隐私和反追踪的开发者仍有参考价值。
HN 评论精选
澄清标题：是借 DRM 实现做指纹，而非用 DRM 生成唯一 ID
标题有误导性：Reddit 并不是像 Netflix 那样用 DRM 生成唯一标识，而是利用 DRM 实现的类型作为指纹/机器人检测的额外熵源，类似于屏幕尺寸和 User-Agent。区别虽小但很重要——隐私活动人士反对 DRM 的原因正是它能让服务商超越传统指纹技术，获得真正唯一的标识符。
indolering查看英文原文
The title is misleading because they are not using DRM to generate a unique identifier like, for example, Netflix would use. Instead, it is using the type of DRM implementation for fingerprinting/bot detection. It's just a few more bits of unique entropy, along the lines of your screen size and user agent. This might seem like a small difference, but reason activists hate DRM is that it enables service providers to go a step beyond traditional fingerprinting and gain a truly unique identifier.
从反欺诈角度辩护：指纹主要用于识别批量机器人和盗号
我猜测这主要用于识别机器人团伙和账号盗用。开放注册网站上刚注册的账号平均可疑得多，老账号在垃圾营销和刷票等违规活动中需求很大。指纹技术很擅长识别批量养号的账号集群，对识别被盗账号也有帮助。EFF 的 Cover Your Tracks（原 Panopticlick）是了解指纹构成的好例子。
splonk查看英文原文
I would speculate that this is mostly meant to be used for identifying bot rings and ATO (account takeover). Brand new accounts on a site with open signups are, on average, quite a lot more suspicious than older accounts. There's a significant demand for aged accounts to use for various banned activities (mostly spam first and vote manipulation second), and fingerprinting is likely a high value signal in combating it. Two easy ways to generate aged accounts in bulk - create a whole lot of them and wait (and optionally do some activity on them to make them look real), or take over abandoned or compromised accounts. Fingerprinting is very good at identifying clusters of the former, and at least helpful for the latter. EFF appears to have rebranded Panopticlick as "Cover Your Tracks", but it's usually a fun thing to look at in discussions of this type as an example of what can go into a fingerprint and the informational value of various parts: https://coveryourtracks.eff.org
批评浏览器暴露过多 API，网页本不该能做这些检测
检测 DevTools 是否打开、已装的语音、Chrome 扩展……网页代码根本就不应该有技术手段做这些事。问题的一大根源是浏览器在暴露各种不合理 API 方面太过放任。
qwerty456127查看英文原文
> ... Checks if devtools is open ... Detects installed text to speech voices ... Detects if some Chrome extensions are installed ... No web code should be given technical means to do such things in the first place. A big part of the problem is browsers are too liberal in exposing various unreasonable APIs.
建议用 old.reddit.com 规避，并批评 SPA 让屏蔽更难
也就是说只有改版后的主站域名这么做，old.reddit.com 没有。如果旧版没这个问题，那又多了一个用旧版的理由……我仍然认为很多网站转向纯 JS 的 SPA，部分原因就是这让屏蔽这类东西变得困难得多。让网站在访客电脑上执行图灵完备的计算，只为显示本不需要它就能显示的内容，实在令人反感。
userbinator查看英文原文
i.e. the main redesign domain, not old.reddit.com If the old one didn't do this, there's yet another reason to use it... I still believe that part of the reason a lot of sites are moving to JS-only SPAs and the like is that it becomes much harder to block things like this. Regardless of sandboxing, the idea of letting a site execute Turing-complete computations on its visitor's computers, just to display what could be done without, is quite repulsive.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选