8割以上の確率で個人が特定できる、ブラウザの「指紋」

Internet ExplorerやFirefoxいったブラウザでWebサイトを閲覧すると、ブラウザはパソコンのOSやブラウザのバージョン、IPアドレス、直前に閲覧していたページといった情報（HTTPヘッダー）をWebサーバへ送信するわけですが、記事によるとこれらの情報を組み合わせることで高い確率で個人の特定が出来てしまとのこと（正確にはユニークブラウザの特定でしょうね）。

こでEFFでは、ボランティアの参加者を募集し、同社の実験サイトにアクセスしてもらった。そして、参加者のブラウザーが残した痕跡を調べた。参加者数（サンプル数）は47万161。

その結果、参加者の83.6％については、ブラウザーが送信するバージョン情報や設定情報などの組み合わせが固有であり、その組み合わせを調べれば、ユーザーの識別や追跡が可能になるという。Flash PlayerあるいはJavaのプラグインをインストールしている参加者については、94.2％が固有だった。

47万の8割方というのは無視できない割合ですね。かなり正確と見ていい。サービス提供者からすれば便利なものの、「指紋」の呼び名の通り使い方を間違えるとかなり危険。

EFFでは、バージョン情報などの組み合わせを「フィンガープリント（指紋）」と呼んでいる。フィンガープリントからユーザーの身元を調べることは当然できないが、アクセスしているユーザーが同一かどうかを調べることや、ユーザーの行動を追跡することは可能になる。

そういえばCookieを削除されてもユニークユーザーを特定できるというアクセス解析ツールがありました。

» クッキー削除率は20%？ 本当のユニークユーザー数がわかる新しいアクセス解析ツールX-logに注目（Web担当者Forum）

裏は取ってないけど、これも「指紋」のようなアプローチなのかも。

このためEFFでは、Webのプライバシーや追跡可能性を議論する際には、IPアドレスやCookieと同じように、フィンガープリントについても考慮しなければならないとしている。

パーソナライズ（個人最適化）はECのようなサービスにおいて確かに効果的。そのためには個人（ユニークユーザー）の特定が不可欠なんだけど、個人的にはほどほどにしとかないとストーカーのようで気持ち悪いとも思うのですな。

アマゾンのように「この商品を買った人はこんな商品も買っています」と理由が示されてるなら違和感は少ないけど、行動ターゲティング広告の場合はそのバナーやテキストが表示されている理由はほとんど明記されていない。

ふと気が付いた時にユーザーに不信感を持たれないためにも、個人情報の収集方法と利用目的は明示し、情報の利用可否はユーザー側に決定権があるようにするのがいいのでしょうね。

▼関連記事
・ほとんどのブラウザーで個人を識別できる“指紋”を残す、米EFFが警告（INTERNET Watch）
・意外と不評な行動ターゲティング手法、7割が抵抗感／広告に対する意識調査（Web担当者Forum）
・ユーザーが制御できない「秘密cookie」、半数強のサイトが利用（ITmedia News）