ทำไมเปิดบัญชีย่อยด้วยหลาย Profile ของ Chrome ถึงไม่พอ ขีดจำกัดของการแยกตัวตน

ใจความสำคัญ: ระบบหลาย Profile ของ Chrome แยกสถานะการล็อกอินได้สะอาดมาก แต่แพลตฟอร์มดูตัวตนอุปกรณ์ ไม่ได้ดูแค่สถานะการล็อกอิน ทุก Profile ใช้เอนจินเบราว์เซอร์ตัวเดียวกันจึงรายงานฟิงเกอร์พรินต์ชุดเดียวกัน พร็อกซีเป็นระดับเบราว์เซอร์ทำให้ IP ปลายทางแยกกันไม่ได้ และการล็อกอินบัญชี Google เดียวกันเพื่อซิงก์ ยังเชื่อมทุก Profile เข้าด้วยกันบนคลาวด์อีกด้วย ถ้าบัญชีย่อยใช้เองในชีวิตประจำวัน Profile ก็เพียงพอ แต่ถ้าจะเลี้ยงบัญชีธุรกิจระยะยาว ต้องให้แต่ละบัญชีมีฟิงเกอร์พรินต์และเส้นทางออกของตัวเอง

การเปิดบัญชีย่อยผ่านไอคอนรูปโปรไฟล์ที่มุมขวาบนของ Chrome คือก้าวแรกที่หลายคนเลือกเมื่ออยากใช้หลายบัญชี แค่กดเพิ่ม ตั้งชื่อ เลือกสี ก็ได้ Profile ใหม่มาใช้งาน สถานะการล็อกอินอยู่กับตัวตลอด ปิดแล้วเปิดใหม่ก็ไม่หลุด แถมไม่ต้องติดตั้งอะไรเพิ่ม

แต่พอบัญชีย่อยเริ่มเยอะ ปัญหาก็ตามมา บางแพลตฟอร์มเริ่มแจ้งเตือนความผิดปกติ บางบัญชีถูกจำกัดการใช้งาน ทั้งที่แต่ละ Profile ไม่เกี่ยวข้องกันเลย สาเหตุไม่ได้อยู่ที่ตั้งค่า Profile ไม่ดี แต่อยู่ที่มันแยกได้แค่ครึ่งเดียว ข้อมูลในเครื่องแยกกันได้จริง แต่สัญญาณด้านอุปกรณ์และเครือข่ายที่แพลตฟอร์มมองเห็นไม่เคยแยกจากกันตั้งแต่แรก

บทความนี้จะแกะทีละชั้นว่าอะไรแยกได้ อะไรแยกไม่ได้ แล้วปิดท้ายด้วยเกณฑ์ตัดสินใจว่าเมื่อไร Profile พอ และเมื่อไรควรเปลี่ยนไปใช้สภาพแวดล้อมแบบอื่น

Profile แยกข้อมูล ไม่ได้แยกอุปกรณ์

การแยกของ Profile เกิดขึ้นที่ชั้นข้อมูลในเครื่องเท่านั้น Google อธิบายฟีเจอร์นี้ไว้ว่าเป็นการแยกเก็บบุ๊กมาร์ก ประวัติการใช้งาน รหัสผ่าน และข้อมูลประเภทเดียวกัน ในการใช้งานจริง แต่ละ Profile มี Cookie และข้อมูลเว็บไซต์ ประวัติการเข้าใช้ ส่วนเสริม และคลังรหัสผ่านเป็นของตัวเอง บัญชีย่อยสองตัวล็อกอินคนละ Profile สถานะการล็อกอินไม่ทับกัน บัญชีสองตัวบนแพลตฟอร์มเดียวกันออนไลน์พร้อมกันได้

ชั้นนี้เป็นการแยกที่แท้จริง และยังดีกว่าหน้าต่างไม่ระบุตัวตนอีก เพราะหน้าต่างไม่ระบุตัวตนเมื่อปิดแล้วจะไม่เหลือแม้แต่สถานะการล็อกอิน ขณะที่ข้อมูลของ Profile เก็บไว้ได้ระยะยาว ส่วนความต่างของสองแบบนี้ เปรียบเทียบกันได้ละเอียดผ่านเช็กลิสต์ในบทความโหมดไม่ระบุตัวตนกับการเชื่อมโยงบัญชี

ข้อจำกัดก็ซ่อนอยู่ในประโยคเดียวกันนั่นเอง ที่แยกกันได้คือข้อมูลผู้ใช้บนดิสก์ทั้งหมด ส่วนตัวโปรแกรมเบราว์เซอร์ การ์ดจอ การ์ดแลน ระบบปฏิบัติการ ไม่มีอะไรเปลี่ยนเลยสักอย่าง ทุก Profile รัน Chrome ตัวเดียวกัน อ่านฮาร์ดแวร์เครื่องเดียวกัน และใช้เส้นทางเครือข่ายเส้นเดิม จะสร้างโฟลเดอร์ข้อมูลขึ้นมาสักร้อยโฟลเดอร์ ตัวตนอุปกรณ์ก็ยังมีแค่ชุดเดียว

ทุก Profile บนเครื่องเดียวกัน รายงานฟิงเกอร์พรินต์ชุดเดียวกัน

แพลตฟอร์มระบุตัวเครื่องด้วยฟิงเกอร์พรินต์ของเบราว์เซอร์ ซึ่งเป็นชั้นที่ Profile ไม่มีอำนาจจัดการเลย User-Agent มาจากตัวโปรแกรมเบราว์เซอร์ ทุก Profile จึงรายงานเวอร์ชันเดียวกัน ผลเรนเดอร์ Canvas และ WebGL ขึ้นอยู่กับการ์ดจอ รายการฟอนต์ ความละเอียดหน้าจอ จำนวนคอร์ CPU รุ่นความจุแรม ทั้งหมดอ่านมาจากฮาร์ดแวร์เครื่องเดียวกัน

ในบทวิเคราะห์เทคนิคการฟิงเกอร์พรินต์เบราว์เซอร์ของ FingerprintJS องค์กรด้านตรวจจับฟิงเกอร์พรินต์ สัญญาณเหล่านี้คือองค์ประกอบหลักที่ใช้ระบุตัวเครื่อง การเปลี่ยนโฟลเดอร์ข้อมูลไม่กระทบข้อใดข้อหนึ่งเลย

ไม่เชื่อก็ทดสอบเองได้ หน้าทดสอบฟิงเกอร์พรินต์ของ EFF เปิดแล้วรันได้ทันที ลองทดสอบในสอง Profile แล้วเอาผลมาวางเทียบกัน เทียบแล้วน่าเชื่อถือที่สุด ข้อมูลเบราว์เซอร์และระบบ ฟอนต์ การเรนเดอร์ Canvas ค่าฮาร์ดแวร์ แทบตรงกันทุกข้อ ส่วนที่ต่างมักมีแค่ Cookie และพื้นที่จัดเก็บในเครื่อง

มองจากฝั่งระบบความเสี่ยงของแพลตฟอร์ม สิบ Profile คือตัวตนเดียว สัญญาณที่ตรงกันชุดนี้เพียงพอสำหรับการจัดให้เป็นบ้านเดียวกัน การแยก Cookie ทำได้แค่ให้บัญชีไม่ทับกันในเครื่อง แต่หลักฐานที่ใช้ตัดสินการเชื่อมโยงไม่เคยอยู่ในเครื่องตั้งแต่แรก ถ้าอยากรู้ว่าคลัสเตอร์บัญชีย่อยของคุณยังเหลือสัญญาณเชื่อมโยงอะไรอีก ลองไล่ตามลำดับในคู่มือตรวจสอบความเสี่ยงการเชื่อมโยงหลายบัญชีตั้งแต่สภาพแวดล้อม พร็อกซี ไปจนถึงประวัติการล็อกอิน

IP ปลายทางเป็นระดับเบราว์เซอร์ ไม่ใช่ระดับ Profile

ช่องว่างชั้นเครือข่ายเห็นภาพชัดกว่านั้นอีก Chrome ไม่มีการตั้งค่าพร็อกซีแยกตาม Profile การตั้งค่าพร็อกซีผูกกับระบบปฏิบัติการ เปลี่ยนหนึ่งเส้นทางคือทุก Profile เปลี่ยนตามพร้อมกัน จะให้บัญชีย่อยสองตัวใช้คนละเส้นทางออก ในระบบ Profile ก็ไม่มีทางเข้าที่ถูกต้องให้ทำ ส่วนแนวทางที่ประกอบขึ้นจากส่วนเสริมหรือเครื่องมือภายนอก ทั้งความเสถียรและความสม่ำเสมอไม่พอสำหรับการใช้งานระยะยาว และที่อยู่ภายในเครื่องที่ WebRTC ปล่อยออกมาก็เหมือนกันทุก Profile เพราะคุยแบบเรียลไทม์ผ่านเอนจินเบราว์เซอร์ตัวเดียวกัน

คลัสเตอร์บัญชีย่อยทั่วไปจึงหน้าตาแบบนี้ สิบกว่า Profile แต่ละตัวล็อกบัญชีของตัวเอง สถานะการล็อกอินสะอาดหมดจด แต่ออกทางเดียวกันผ่าน IP เดียวกัน ในล็อกฝั่งแพลตฟอร์ม บัญชีกลุ่มนี้ใช้งานสลับกันไปมาบนเส้นทางเดียวกัน ต่อกับฟิงเกอร์พรินต์ที่ตรงกันจากหัวข้อก่อนหน้า หลักฐานการเชื่อมโยงจึงเกือบครบสาย แยกข้อมูลดีแค่ไหนก็อุดช่องว่างชั้นตัวตนเครือข่ายไม่ได้ นี่คือเส้นแบ่งที่ชัดที่สุดระหว่าง Profile กับสภาพแวดล้อมของเบราว์เซอร์ฟิงเกอร์พรินต์

การซิงก์บัญชี Google จุดเชื่อมโยงที่มักถูกมองข้าม

ตอนสร้าง Profile Chrome จะชวนให้ล็อกอินบัญชี Google เพื่อเปิดการซิงก์ บุ๊กมาร์ก รหัสผ่าน ส่วนเสริม และการตั้งค่าจะถูกเก็บขึ้นคลาวด์ของบัญชี เปลี่ยนเครื่องก็ดึงกลับมาได้ การออกแบบนี้สะดวกดีสำหรับผู้ใช้ทั่วไป แต่สำหรับบัญชีย่อยเป็นเรื่องอื่น ถ้าหลาย Profile ล็อกอินบัญชี Google ตัวเดียวกัน ข้อมูลจะบรรจบกันที่เดียวบนคลาวด์ ความเชื่อมโยงระหว่างบัญชีจึงขยายจากในเครื่องไปถึงฝั่งแพลตฟอร์ม ซิงก์เปิดอยู่ สัญญาณก็เชื่อมอยู่ แยกกันดีแค่ไหนที่ตัวเครื่อง ก็อุดปลายฝั่งคลาวด์ไม่ได้

วิธีจัดการไม่ซับซ้อน ตอนสร้าง Profile ของบัญชีย่อย ให้เลือกไปต่อโดยไม่ล็อกอินบัญชี หรือให้แต่ละบัญชีย่อยมีบัญชี Google แยกของตัวเอง ซิงก์กันคนละบัญชี พอปิดซิงก์แล้ว ข้อมูลระหว่าง Profile ยังแยกกันอยู่เหมือนเดิม การใช้งานประจำวันไม่ได้รับผลกระทบ

กรณีไหน Profile พอ กรณีไหนควรเปลี่ยนสภาพแวดล้อม

ตัดสินตามน้ำหนักของบัญชี ไม่เกี่ยวกับว่าเครื่องมือเก่าหรือใหม่

กรณีเหล่านี้ ใช้ Profile ต่อไปได้เลย

• บัญชีใช้เองในชีวิตประจำวัน เมลงานกับเมลส่วนตัวอย่างละตัว ความยุ่งมีแค่ล็อกผิดบัญชี
• แบ็กออฟฟิศของแพลตฟอร์มความเสี่ยงต่ำ บัญชีไม่มีผลประโยชน์เกี่ยวพันกัน และแพลตฟอร์มไม่ตรวจด้านอุปกรณ์
• บัญชีงานชั่วคราวที่แยกออกมาทำโปรเจกต์ ใช้เสร็จก็ทิ้ง ไม่ได้คิดจะเลี้ยงระยะยาว

แต่ถ้าเกิดข้อใดข้อหนึ่งด้านล่างนี้ขึ้น ถึงเวลาย้ายบัญชีเข้าสภาพแวดล้อมแยก

• บัญชีพาธุรกิจจริงมาด้วย ร้านค้า บัญชีโฆษณา หรือเครือข่ายโซเชียลมีเดีย พลาดที่หนึ่งคือกระทบกันทั้งกลุ่ม
• แพลตฟอร์มระบุชัดว่าตรวจด้านอุปกรณ์ การใช้อุปกรณ์เดียวกันหลายบัญชีตัวมันเองคือความเสี่ยง
• จำนวนบัญชีขึ้นไปถึงหลักสิบ เปลี่ยนหน้าต่างตามไม่ไหว แถมต้องแบ่งงานกันเป็นทีม

พอถึงจุดต้องเปลี่ยนสภาพแวดล้อม วิธีคิดก็เปลี่ยนจากเปิดหน้าต่างเพิ่มอีกสักหน่อย มาเป็นหนึ่งบัญชีย่อยหนึ่งชุดตัวตนสมบูรณ์ MostMate เป็นเบราว์เซอร์ฟิงเกอร์พรินต์ที่เก็บข้อมูลเบราว์เซอร์ พารามิเตอร์ฟิงเกอร์พรินต์ และเส้นทางออกเครือข่ายไว้ในสภาพแวดล้อมแยกที่นำกลับมาใช้ซ้ำได้ หนึ่งบัญชีย่อยต่อหนึ่งชุด

ตอนสร้างสภาพแวดล้อม ฟอร์มแบ่งเป็นสามส่วนคือข้อมูลพื้นฐาน การตั้งค่าฟิงเกอร์พรินต์ และการตั้งค่าขั้นสูง แผงพรีวิวฟิงเกอร์พรินต์ด้านขวาแสดงค่าปัจจุบันแบบเรียลไทม์ พารามิเตอร์อย่าง Canvas WebGL รายการฟอนต์ WebRTC ที่ขยับไม่ได้ใน Profile ที่นี่มีระดับการตั้งค่าให้ครบ

พร็อกซีก็เดินตามสภาพแวดล้อมเช่นกัน พร็อกซีจัดการรวมกันในรายการจัดการพร็อกซีแยกต่างหาก ส่วนฟอร์มสภาพแวดล้อมเลือกได้สามแบบคือไม่ใช้พร็อกซี กำหนดพร็อกซีเอง หรือเลือกจากรายการ ประเภทพร็อกซีรองรับตั้งแต่ SOCKS5 ถึง SSH รวมสี่ประเภท ด้านภาษา เขตเวลา ตำแหน่งที่ตั้ง มีระดับตั้งค่าแบบกำหนดตาม IP พอตั้งพร็อกซีเสร็จ ค่าเหล่านี้จะจัดเรียงตามภูมิภาคปลายทางให้เอง แต่ละแถวในรายการสภาพแวดล้อมแสดงพร็อกซี IP ปลายทาง บัญชีที่ผูกไว้ และกลุ่มครบหน้าเดียว ใครวิ่งบนเส้นทางไหน มองปุ๊บรู้เลย

หน้าตาอินเทอร์เฟซและฟิลด์ของแต่ละโมดูล มีภาพหน้าจอและคำอธิบายครบชุดในหน้าMostMate คืออะไร ส่วนหลักการของการแยกที่ครอบคลุม Cookie พื้นที่จัดเก็บในเครื่อง เซสชัน แคช สภาพแวดล้อมฟิงเกอร์พรินต์ และการตั้งค่าพร็อกซี มีบทความกลไกการแยกสภาพแวดล้อมแกะให้เป็นระบบกว่านี้ เมื่อถึงเวลาสร้างสภาพแวดล้อมชุดแรก ไล่ตามลำดับตั้งชื่อ ตั้งพร็อกซี ไปจนถึงตรวจพารามิเตอร์ได้ตามเช็กลิสต์สภาพแวดล้อมใหม่ทีละข้อ

คำถามที่พบบ่อย

ฟิงเกอร์พรินต์ของ Profile ต่างกันใน Chrome เหมือนกันจริงหรือ

สัญญาณระดับอุปกรณ์และเบราว์เซอร์แทบเหมือนกัน Profile บนเครื่องเดียวกันใช้โปรแกรมเบราว์เซอร์และฮาร์ดแวร์ร่วมกัน Canvas WebGL ฟอนต์ ค่าหน้าจอ User-Agent ทุกอย่างเหมือนกันหมด แยกกันจริงมีแค่ Cookie ประวัติ และข้อมูลในเครื่อง รันเว็บทดสอบบนสอง Profile เห็นความต่างที่น้อยเหลือเชื่อได้ทันที

สลับพร็อกซีระบบให้แต่ละ Profile เองได้ไหม

คำตอบคือไม่ได้ พร็อกซีระบบเป็นแบบทั้งระบบ สลับเมื่อไรทุก Profile เปลี่ยนพร้อมกัน จะให้สองบัญชีออนไลน์พร้อมกันก็ต้องเข้าไปแก้ตั้งค่าวนไปมา แก้พลาดครั้งเดียว เส้นทางออกก็ไม่ตรงกับประวัติของบัญชีอีกต่อไป การให้แต่ละบัญชีมีเส้นทางออกคงที่ นี่คือโจทย์ที่พร็อกซีระดับสภาพแวดล้อมต้องแก้

บัญชีย่อยไม่ล็อกอิน Google แล้วปลอดภัยหรือยัง

แค่ตัดสัญญาณชั้นซิงก์ออกไปเท่านั้น ชั้นฟิงเกอร์พรินต์กับชั้น IP ปลายทางยังใช้ร่วมกันเหมือนเดิม แพลตฟอร์มจัดกลุ่มบัญชีบนเครื่องเดียวกันได้เหมือนเดิม ไม่ล็อกอิน Google คุ้มที่จะทำ แต่มันแก้ได้แค่ชั้นเดียว ไม่ใช่ทั้งหมด

หน้าต่างไม่ระบุตัวตนกับ Profile แบบไหนเหมาะกับบัญชีย่อยกว่า

ทั้งสองแบบเปลี่ยนตัวตนอุปกรณ์ไม่ได้เท่ากัน หน้าต่างไม่ระบุตัวตนไม่เก็บแม้แต่สถานะการล็อกอิน เหมาะกับใช้ครั้งเดียวจบ Profile เก็บสถานะการล็อกอินไว้ เหมาะกับเลี้ยงบัญชีระยะยาว แต่ในสายตาแพลตฟอร์ม ทั้งสองคือวิธีเปิดอุปกรณ์เครื่องเดียวกันสองแบบ ต่างกันแค่การคงอยู่ของเซสชัน ไม่ใช่ความเสี่ยงเชื่อมโยง

บทสรุป

ระบบหลาย Profile ของ Chrome แยกข้อมูลในเครื่องได้สะอาดจริง แต่เวลาแพลตฟอร์มตัดสินการเชื่อมโยง เขาดูอุปกรณ์กับเครือข่าย ซึ่งเป็นคนละชั้นกับเรื่องนั้น Profile จะพอหรือไม่พอ ตัดสินกันที่น้ำหนักของบัญชี บัญชีใช้ส่วนตัวใช้ต่อไปได้ไม่มีกำหนด แต่บัญชีธุรกิจควรได้สภาพแวดล้อมที่ดีจริง อย่างน้อยก็ให้แต่ละบัญชีมีฟิงเกอร์พรินต์และเส้นทางออกของตัวเอง ถึงเวลาเปลี่ยนสภาพแวดล้อมเมื่อไร ลองดาวน์โหลด MostMate ใช้เวอร์ชันฟรีสร้างสองสภาพแวดล้อม แล้วรันการเปรียบเทียบข้างบนด้วยตัวเอง ผลลัพธ์พูดชัดกว่าคำอธิบายใด ๆ