安全与密码学2019arxiv.org
浏览器指纹识别：综述
Browser Fingerprinting: A Survey
进阶 · 约 35 分钟读完前置知识：Web 基础（HTTP、Cookie）、JavaScript 与浏览器渲染基础、在线广告与用户跟踪的基本概念
导读
这篇论文对浏览器指纹识别做系统综述：梳理可用于识别用户或设备的属性（如 User-Agent、插件列表、屏幕分辨率与色深、Canvas、WebGL 渲染器等），并讨论其隐私影响与防护思路。评论中提到的论文结论是这些属性具有较强区分度，部分可通过浏览器设置缓解，但往往伴随可用性代价。
HN 关注点：浏览器指纹带来的隐私与跟踪问题，以及技术缓解、浏览器厂商协作和法律监管能否奏效。
后来怎么样
该综述系统整理了可用于指纹识别的浏览器属性及其区分度，成为反指纹研究与浏览器隐私文档的常用参考框架，也常被用来解释 Tor Browser、Firefox resistFingerprinting 等方案在匿名性与可用性之间的取舍。
HN 评论精选
这几条评论里：支持 1 质疑 1 补充 2
补充数字跟踪应与现实跟踪一样被视作不可接受甚至违法。
维基百科对“跟踪（stalking）”的定义是：个人或团体对他人进行不受欢迎和/或反复的监视；跟踪行为与骚扰、恐吓相关，可能包括现实中尾随受害者或监视他们。精神病学、心理学以及一些司法辖区对 stalking 的定义有所不同，有些法律还将其列为犯罪。这在数字世界也应该适用，不是吗？
paulus_magnus2查看英文原文
https://en.wikipedia.org/wiki/Stalking Stalking is unwanted and/or repeated surveillance by an individual or group towards another person.[1] Stalking behaviors are interrelated to harassment and intimidation and may include following the victim in person or monitoring them. The term stalking is used with some differing definitions in psychiatry and psychology, as well as in some legal jurisdictions as a term for a criminal offense. This should also apply in the digital world. Doesn't it?
支持论文指出的高区分度指纹属性大多难以根本统一，Firefox 的 resistFingerprinting 可部分缓解但有代价。
根据这篇论文，浏览器指纹识别中最有用的属性是：User-Agent、插件列表、屏幕分辨率和色深、Canvas、WebGL Renderer（约等于 GPU 型号）。Canvas 或许可以在一定程度上被修复，但其他属性感觉本质上就会不同。Firefox 的 privacy.resistFingerprinting 设置至少能部分解决（甚至更多）这些问题，但并非没有可用性代价。
wongarsu查看英文原文
According to the paper the most useful attributes for browser fingerprinting are: - User agent - List of Plugins - Screen resolution and color depth - Canvas - WebGL Renderer (~GPU Model) Maybe Canvas can be fixed to a degree, but the others feel like things that will inherently be different. Firefox with the privacy.resistfingerprinting setting solves all of these at least partially (and more), but not without some usability tradeoffs.
质疑单靠技术不够，DNT 必须由法律强制执行并配处罚。
我已经放弃技术解决方案了。我们需要浏览器有一个“Do Not Track”位，而且它必须获得法律效力。违规者要被点名、羞辱并罚款。
titzer查看英文原文
I've given up on technological solutions to this. We need a "do not track" bit for browsers and it needs to carry the weight of law behind it. Violators need to be named, shamed, and fined.
补充建议主流浏览器统一标准化反指纹默认值，关键在于厂商意愿。
主流浏览器厂商能不能联合起来，实现一套可启用的标准值和默认值，至少把指纹降低到不再唯一的程度？类似 Tor Browser 的做法，但扩展到所有主流浏览器。路是开放的，问题是有没有意愿。
Santosh83查看英文原文
Can the major browser vendors not get together and implement a set of standard values and defaults that can be activated to reduce one's fingerprint, at least enough to make it non-unique? Something like what Tor Browser does but expanded to include all the major browsers. The way is open, the question is if there is will.
历次讨论
- 2019Hacker News 讨论帖173 分 · 116 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选