Tiktok 跟踪用户的技术到底说的是甚，有点不懂

“对 Tiktok 应用和网站流量的分析发现，它会将用户数据发送给 Appsflyer 和 Facebook，会利用设备指纹跟踪用户。Tiktok 短地址被发现包含了安装 ID，可用于识别谁分享了视频。它甚至还能跟踪谁观看了视频。它使用的跟踪技术包括了 Canvas Fingerprinting，在后台使用矢量图形命令绘制图形，保护图像到一个栅格化 PNG 文件，根据硬件和浏览器该数据在不同设备之间具有唯一性；它还使用音频指纹识别观看者，内部生成音频然后记录比特流，这一数据在设备之间也具有唯一可识别性。北京字节跳动称指纹被用于识别恶意浏览器行为，但研究者对此表示质疑。”

在某电报频道里看到了说 Tiktok 是利用以上技术追踪用户的，但自己太小白了，看了半天依然没看明白，不知道能否请万能的 V 友们把其中的技术说的明白一点？ canvas fingerprinting 是不是 html5 里的新特性？什么是棚格化 PNG ？为什么具有唯一性？用音频指纹识别观看者又是什么操作？

imn1

2019-12-09 03:02:07 +08:00

首先你没有明白“浏览器指纹”是怎样的

以前的浏览器，提交的信息很少，很多人都用，环境参数差别不大，重复数据很多，几乎分不出谁是谁
但现代的浏览器，有很多功能，也会提交很多这些功能的反馈，把他们组合起来，就可以确定某个人或浏览器
简单一个例子，在某个地区（假设 10 平方公里）内，很难找到两个人的浏览器装相同的扩展（完全不装扩展或仅有一两个扩展的不在此例），并且所有扩展的参数都相同，如果有读取所有扩展列表这个功能，基本上在某个时间段内，就能分出每个浏览器
这个例子，ip 范围、扩展列表、时间范围三个字段，可以构成唯一值，和数据库里面的多字段主键一样（假如你知道数据库的话），任一都可能变化或相同 /重复，但共同就唯一了
例如我 firefox 没有 flash、静音、禁止视频自动播放、一个扩展叫做 floccus，这四条加起来我猜 10 平方公里内都较难找到第二个

题外，假如你的手机 APP 比较固定，不会经常安装卸载的话，建议没必要的话不要开放读取应用列表这个权限

如上所述，canvas 只是其中一种“字段”而已，但它也可以单独成为主键

浏览器指纹其实比较难避免，某些站你封杀的话还可能造成访问困难，例如知乎
一般人可以对付的，可以做的工作，应该是多清除 cookies，不要让 cookies 里面的数据构成一个完整的 timeline
当然，只是对开放网站而言，要登陆的网站，没什么可防的

如果可能，把开放网站和登陆网站分开浏览，这个也很难做到，不过，可以了解一下 firefox 的 container，这个是目前所有浏览器，在这方面做得最好的功能了

imn1

2019-12-09 03:10:03 +08:00

有些指纹应用场合是正常的，例如网盘（指下载时，泛指，不是针对某一家），因为网盘提供方要防止爬虫和滥用，可以理解，但它有没有“顺便”收集数据，那就天知道了

Mithril

2019-12-09 07:22:51 +08:00

声音那个是直接在后台调用录音和回放 API，但是并不直接访问录音和回放设备。就是直接录一段空白的音频。因为没有申请调用录音设备，并不会触发浏览器的权限警告。
但是那个 API 据说是直接走硬件的，每个 DSP 录出来的噪声都会有细微的差别。
一般来说这些指纹技术都是拿来防爬虫的。字节跳动有没有用来追踪个体用户就不知道了。

fordoo

2019-12-09 09:55:43 +08:00

正好从事相关行业，主要作用就是判断是否为同一用户，收集信息为用户做画像，最后提供定制化广告；收集信息主要是下列信息
1. 安卓主要通过 Google Advertising ID(有 google play 的用户)、Android_ID 追踪用户
2. IOS 通过 IDFA,IDFV 追踪用户；
3. 设备机型、语言、系统、网络、用户产生行为等信息也会辅助追踪用户。
通过

Appsflyer 是第三方归因(跨应用安装、以及应用内变现等)平台，很多平台都需要向 Appsflyer 传递必要的参数以辅助归因；
用户信息回传给 Facebook 主要是让 Facebook 做用户画像