先说结论：指纹浏览器本身不会泄露你的隐私，它的作用正好相反，是减少网站能读到的真实设备信息。用它的人出现隐私或资产损失，原因通常在下面四处：
- 安装包来路不明，客户端被人改过；
- 挂了代理，真实 IP 却从 WebRTC 或 DNS 漏了出去；
- 环境里装了有问题的扩展，或者本机已经中毒；
- 多人共用时权限没分好，有人能看到或导出不该碰的账号数据。
下面先讲清楚指纹浏览器替你挡住了什么，再把这四处按“怎么查、查出问题怎么办”逐一说明。
指纹浏览器挡住了什么
普通浏览器联网时，网站可以通过 JavaScript 读取 Canvas、WebGL、音频上下文、屏幕分辨率、系统字体、硬件配置等上百项参数，拼出一个基本唯一的设备指纹。不管你换没换账号，网站都能凭这个指纹认出是同一台电脑。
指纹浏览器在内核层替换这些参数，同时让每个环境的 Cookie、本地存储和缓存各自独立。效果有两层：网站读到的是这个环境的参数，读不到你本机的真实参数；A 环境的登录状态也不会被 B 环境里打开的网站读到。
它的防护范围到此为止，管的是浏览器对外暴露什么。安装包是否干净、代理有没有漏、电脑是否安全、团队里谁能看什么，这些都需要你自己确认。
泄露口一：安装包来路不明
这一处的后果最严重。被篡改的客户端或扩展可以在后台读取本地保存的密码、Cookie，甚至加密钱包私钥。安全论坛上有用户报告过，使用指纹浏览器期间加密资产被盗。正规渠道和破解渠道的区别，就在于安装包有没有被人动过。
怎么查：
- 只从官网下载。第三方下载站、网盘分享、“破解版”“免费会员版”一律不用。
- 在 Windows 上右键安装包，选择“属性”，打开“数字签名”选项卡，确认签名者是软件厂商本身，点“详细信息”后显示“此数字签名正常”。如果没有这个选项卡，或者签名者对不上，就不要安装。
以 NexBrowser 为例：Windows 安装包带有代码签名，下载页提供国内和海外两条线路。国内网络下载慢时换另一条线路即可，不必去找第三方镜像。下载完成后先按上面的方法核对签名，再安装。
已经装过来路不明的版本怎么办：先卸载，再用杀毒软件全盘扫描。然后把在这个客户端里登录过的账号逐个改密码，重新绑定二次验证；涉及钱包的，把资产转到新钱包。只卸载软件不够，凭据可能已经被传走了。
泄露口二：挂了代理，真实 IP 却漏了出去
很多人以为绑了代理，网站看到的就一定是代理 IP，其实不一定。最常见的漏洞是 WebRTC：它用 STUN/ICE 协议穿透 NAT，网站可以在后台静默发起查询，不弹任何提示，就能拿到你的内网 IP 和真实公网 IP，代理和 VPN 对它都不起作用。另一个漏洞是 DNS：域名解析请求如果没走代理，而是交给本地运营商处理，网站也能据此推断出你的真实网络位置。
怎么查（每个新环境绑好代理后做一次）：
- 先用你平时的普通浏览器访问任意 IP 查询页，记下自己的真实公网 IP 和运营商，作为对照。
- 打开绑了代理的环境，访问 BrowserLeaks 的 WebRTC 检测页。看页面显示的公网 IP：如果和代理出口一致、不是第一步记下的真实 IP，说明没漏；如果真实 IP 出现了，说明 WebRTC 在泄露。
- 在同一环境里打开 BrowserLeaks 的 DNS 检测页。看列出的 DNS 服务器：如果是代理所在地区的服务器，就没问题；如果出现了你本地运营商（比如国内电信、联通）的服务器，说明 DNS 没走代理。
查出问题怎么改：
- WebRTC 泄露：在这个环境的指纹设置里找到 WebRTC 选项，改成“替换”或“禁用”。各产品叫法不同，意思是一样的。“替换”会把 WebRTC 暴露的 IP 换成代理 IP，适合需要正常使用音视频功能的场景；用不到这些功能的话，直接禁用更省事。
- DNS 泄露：先确认代理类型和协议填对了，再检查本机是否开着全局 VPN 或加速器。本机的这类软件可能与环境代理叠加或绕开它，排查时先关掉再测。
- 改完关掉环境，重新打开，再测一遍，以复测结果为准。
代理连通性和出口地区的完整检查方法，可以参考防关联浏览器怎么检测代理是否生效。
泄露口三：扩展和本机安全
环境之间相互隔离，但环境内部的扩展有权读取它所在环境的页面内容和 Cookie。一个来路不明的扩展，就能把这个环境里登录的账号整个带走。
- 每个环境只装真正需要的扩展，从官方扩展商店安装，不装来路不明的 crx 文件。
- 不同环境不必装同一套扩展，用不上的就删掉。
- 如果电脑本身中了木马，浏览器隔离做得再好也挡不住。系统更新和杀毒软件要保持开启，也不要在这台电脑上运行来路不明的“工具”和“脚本”。
- 重要账号开启二次验证。这样即使 Cookie 或密码泄露，别人也很难直接登进去。
泄露口四：多人共用时的权限
工作室或团队使用时，最常见的泄露并非来自外部，而是权限给得太宽：成员能看到明文密码、能私自导出 Cookie，或者离职后账号权限仍然有效。
基本做法是：环境按店铺或项目分组，每个成员只分配自己负责的分组；主账号不外借；有人离职时，先收回权限，再改掉他接触过的账号密码。离职交接的完整步骤可以参考员工离职后浏览器环境怎么交接。
另外，开启云端同步后，环境数据会保存在厂商的云端。这能方便你换机还原，但也意味着你的客户端账号成了一把总钥匙。客户端账号要设强密码，不要和其他平台共用。
指纹浏览器管不到的部分
还有一类“隐私”和浏览器无关：你在平台上填写的实名信息、收款账户、绑定的手机号，平台本来就知道，任何浏览器都隐藏不了。指纹浏览器能做的，是避免网站通过设备和网络特征，把你名下本应分开的自有账号关联起来。它不能让平台不认识你，也不能保证账号不被封。更详细的能力边界，可以看防关联浏览器真的能防关联吗。
按这个顺序自查一遍
- 核对安装包来源和数字签名，不对就卸载重装，并修改相关账号的密码；
- 每个绑了代理的环境做一次 WebRTC 和 DNS 检测，有泄露就改设置并复测；
- 清理各环境里用不上的扩展，重要账号开启二次验证；
- 团队使用时检查分组和成员权限，收回离职人员的权限；
- 给客户端账号单独设置一个强密码。
这五步做完，指纹浏览器带来的风险基本只剩你自己能控制的操作习惯。还没安装、或者想换成干净的安装包，从官方下载页开始，下载后先核对签名再安装。
评论(0)