O device fingerprint ou, em português, a impressão digital do dispositivo é um método para identificar um dispositivo utilizando uma combinação de atributos fornecidos pela configuração do dispositivo e de que forma será usado. Os atributos coletados podem variar dependendo de quem constrói o fingerprint. Alguns dos atributos mais comuns são:
Embora nenhum dos dados acima seja exclusivo do dispositivo, a possibilidade de dois dispositivos terem exatamente a mesma combinação de atributos é praticamente remota e estatisticamente insignificante, o que faz com que esse método seja eficiente para identificar dispositivos unicamente.
Esse método pode, inclusive, ser confundido com cookies. Se é assim, de que forma eles diferem?
Cookies, bastante usados para fins publicitários, também são empregados para identificar um dispositivo e até mesmo usuários. Os cookies são armazenados localmente no computador do usuário. Entre muitas outras informações, esses dados podem incluir informações sobre as preferências dos usuários, seu histórico de navegação e os seus carrinhos de compras. Os cookies identificam de forma única um dispositivo, uma vez que o usuário recebe um arquivo que funciona como um identificador singular. No entanto, vale ressaltar que isso só acontece se os usuários tiverem dado o seu consentimento explícito para ativar cookies. Graças a regulamentos do uso de dados como a Lei Geral de Proteção de Dados , a LGPD, e a GDPR, regulamentação da União Europeia, entre outros envolvendo a internet, aos usuários deve ser dada a opção de ativar ou desativar os cookies. O fato de os usuários poderem decidir não aceitar cookies, ou até mesmo limpá-los de seus dispositivos, torna esse método de identificação menos confiável, para não dizer, menos favorável à privacidade.
Device fingerprinting é um sinal de reconhecimento mais estável, pois algumas de suas configurações não mudam com tanta frequência. Para usar a impressão digital do dispositivo, um site ou aplicativo mobile precisa usar um rastreador de device fingerprint. Os programadores usarão alguns recursos da linguagem Javascript para coletar essas informações, que podem identificar o dispositivo do visitante, além do sistema operacional, idioma, endereço IP em questão, entre muitas outras coisas.
Os serviços da Web rastreiam os visitantes por diversos motivos, que envolvem desde publicidade, experiência customizada e até segurança. Ao longo dos anos, especialmente no ramo da publicidade, os cookies foram o método principal para identificar os usuários unicamente. Embora o fingerprint também possa ser usado para fins de publicidade, geralmente na forma de digital do navegador, a maioria das organizações usa o fingerprint do dispositivo para para fins de antifraude. Ao atuar no combate à fraude, as empresas buscam promover o device fingerprint como um método de identificação de dispositivos fácil de usar, visando a proteção de seus clientes e dos dados de suas contas.
O device fingeprint é um método comum usado por empresas como parte de seus sistemas de antifraude e motores de risco tanto para determinar se um usuário é, de fato, quem afirma ser como para evitar tentativas de invasão de contas.
Os fraudadores estão o tempo todo planejando ataques à segurança digital. Alguns desses ataques mais comuns estão relacionados à falsificação de número de telefone e de endereço IP. Ao implementar essas práticas, os fraudadores podem mascarar o número de telefone e o endereço IP real de seu navegador e fingir ser outra pessoa ou um mesmo usuário legítimo. Várias técnicas de falsificação de número de telefone ou de endereço IP são vendidas na Dark Web (sites de atividades ilegais na internet). No entanto, falsificar um device fingerprint é muito mais difícil.
Um device fingerprint pode incluir os seguintes sinais captados do dispositivo:
Para os usuários, não é óbvio, tampouco transparente que seu device fingerprint esteja sendo rastreado por um aplicativo ou site mobile, nem é fácil impedir ou desativar essa prática.
De acordo com a GDPR, uso do device fingerprint é permitido se:
A mesma lógica de consentimento explícito e legítimo interesse se aplicam para a LGPD, a Lei Geral de Proteção de Dados.