Enforcing Browser Anonymity with Quantitative Information Flow

Web tracking companies use device fingerprinting to distinguish the users of the websites by checking the numerous properties of their machines and web browsers. One way to protect the users' privacy is to make them switch between different machine and browser configurations. We propose a formalization of this privacy enforcement mechanism. We use information-theoretic channels to model the knowledge of the tracker and the fingerprinting program, and show how to synthesise a randomisation mechanism that defines the distribution of configurations for each user. This mechanism provides a strong guarantee of privacy (the probability of identifying the user is bounded by a given threshold) while maximising usability (the user switches to other configurations rarely). To find an optimal solution, we express the enforcement problem of randomization by a linear program. We investigate and compare several approaches to randomization and find that more efficient privacy enforcement would often provide lower usability. Finally, we relax the requirement of knowing the fingerprinting program in advance, by proposing a randomisation mechanism that guarantees privacy for an arbitrary program.Pour traquer les utilisateurs de site web, certaines entreprises utilisent une technique basée sur la prise d'empreintes. Celle-ci consiste à distinguer les utilisateurs en collectant de nombreuses caractéristiques de leur machine ou navigateur. Intuitivement, il est possible de se protéger contre la prise d'empreinte en changeant régulièrement de machine ou de configuration de navigateur. Nous proposons une formalisation de ce système de protection de la vie privée. Nous utilisons la notion de canal (channel) pour modéliser à la fois la connaissance de l'attaquant et le programme de prise d'empreinte. À partir de ce modèle, nous montrons comment randomiser la distribution des utilisateurs. Nous apportons une forte garantie quant au respect de la vie privée (la probabilité d'identifier un utilisateur est bornée par un seuil donné) tout en maximisant l'ergonomie (l'utilisateur change de configuration aussi rarement que possible). Pour synthéthiser une randomisation optimale, nous exprimons le problème comme un programme linéaire. Nous avons examiné différentes approches pour randomiser et nous avons constaté que les algorithmes les plus efficaces sont responsables d'une moindre ergonomie. Finalement, nous proposons un mécanisme de randomisation qui garantit l'anomymat pour un programme arbitraire