Dấu vân tay trình duyệt là gì? Mỗi thông số đều bình thường, nhưng ghép lại vẫn nhận ra bạn

Trang web nhận ra bạn, nhiều khi không cần bạn đăng nhập, cũng không cần đặt bất cứ thứ gì vào máy bạn. Mỗi lần mở trang, trình duyệt đều chủ động đưa ra một loạt thông tin.

Loạt thông tin này gộp lại đủ ổn định để vượt qua cả việc bạn xóa lịch sử duyệt web. Trang lạ vẫn nhận ra đây là cùng một thiết bị. Đó chính là dấu vân tay trình duyệt.

MostMate là trình duyệt vân tay dành cho vận hành đa tài khoản. Thứ nó xử lý chính là mặt còn lại của câu chuyện này: trên cùng một chiếc máy tính, trao cho mỗi tài khoản một bản sắc trình duyệt độc lập và tự nhất quán.

Dưới đây đi theo bốn câu hỏi. Dấu vân tay được ghép từ gì, trang web lấy nó từ những cửa vào nào, tắt script có né được không, và làm sao tự kiểm tra một lần.

Từng mục đều không hiếm lạ, ghép lại mới nhận ra người

Nhìn riêng từng mục, cái nào cũng tầm thường đến mức không dùng được để nhận ra người. Màn hình 1366×768 có đầy ngoài đường, chuỗi định danh của Chrome thì nhiều vô kể, múi giờ UTC+8 có hàng trăm triệu người sinh sống.

Thứ thực sự có tác dụng là phần giao nhau. Kích thước màn hình là một tầng sàng, hệ điều hành là một tầng, model card đồ họa là một tầng, danh sách phông chữ, múi giờ, tùy chọn ngôn ngữ mỗi thứ một tầng. Cứ chồng thêm một tầng, số người còn lại lại vơi đi. Chồng đến bảy tám tầng, thường chỉ còn đúng một người.

Năm 2010, EFF thực hiện một thử nghiệm công khai, thu thập khoảng 470.000 mẫu thông tin trình duyệt. Trong đó 83,6% đã là duy nhất dưới bộ sàng này.

Các nhà nghiên cứu quy đổi kết quả thành lượng thông tin, mỗi trình duyệt trung bình mang ít nhất 18,1 bit khả năng nhận diện. Chọn ngẫu nhiên một chiếc, phải khoảng 280.000 chiếc mới có một chiếc trùng với nó. Kết luận đầy đủ của thử nghiệm nằm trong báo cáo công khai của EFF. Nhóm số này về sau được trích dẫn nhiều lần, và cũng bị hiểu sai nhiều lần.

Con số này dễ bị đọc thành "ai cũng đang phơi mình". Thực ra nó đáng được xem như một lời nhắc: độ mạnh của dấu vân tay không đến từ việc một mục hiếm đến đâu, mà từ việc bao nhiêu mục khớp được cùng lúc. Một giá trị đặc biệt hiếm lại khiến thiết bị đó trở nên nổi bật về mặt thống kê.

Còn một điều then chốt hơn cả số lượng mục, đó là tính ổn định. Dấu vân tay hữu ích vì ngày mai, tháng sau nó vẫn ở nguyên chỗ cũ. Một trình duyệt mỗi lần khởi động lại đổi một bộ thông số khác chẳng khác nào tự nguyện đưa ra một nhóm manh mối phân biệt mới mỗi ngày.

Ba nghiên cứu cho ba con số, khác biệt nằm ở cách lấy mẫu

Chỉ nhớ một con số dễ dẫn đến kết luận sai. Nghiên cứu cùng loại đã được làm không chỉ một lần, điều kiện khác nhau thì kết quả cũng khác xa.

Hai dòng đầu lấy dữ liệu từ những trang chuyên làm kiểm tra. Người sẵn lòng đi kiểm tra vốn đã quan tâm đến quyền riêng tư hơn, thiết bị và cấu hình cũng gọn gàng hơn so với người dùng mạng thông thường.

Dòng thứ ba đổi bối cảnh. Script thu thập được gắn trên các trang tin tức Pháp nằm trong nhóm 15 trang có lượng truy cập cao nhất, thu từ khách truy cập tự nhiên của hai trang: dự báo thời tiết và tin chính trị. Bộ thuộc tính dùng vẫn là mười mấy mục như cũ.

Cùng thuộc tính, nhóm khác: tỷ lệ duy nhất giảm từ 90% xuống 1/3.

Vậy nên tính duy nhất không phải thuộc tính cố hữu của thiết bị. Nó phụ thuộc vào việc ba điều có cùng đúng hay không: thu bao nhiêu mục, thu của ai, thu bằng cách nào. Đến năm 2021, các nhà nghiên cứu mở rộng thuộc tính từ mười mấy mục lên hơn hai trăm mục rồi đo lại. Tỷ lệ duy nhất lại quay về 81%. Mục càng nhiều, người càng bị tách ra.

Nghiên cứu trên trang Pháp lần đó còn một phát hiện thực dụng hơn. Những dấu vân tay không duy nhất được mô tả là "mong manh".

Một chiếc máy vốn trùng với hàng chục nghìn người khác, chỉ cần động vào một chút cấu hình là có thể rơi xuống nhóm duy nhất. Nâng cấp trình duyệt, cài thêm một tiện ích, chỉnh một lần độ phân giải, đều tính. "Tôi trùng với người khác" không phải bằng chứng an toàn, chỉ là tạm thời chưa bị tách ra.

Dấu vân tay có ba cửa vào, chỉ một cửa dựa vào script

Muốn hỏi "trang web rốt cuộc thấy được gì", phải nhìn theo ba lớp. Trong ba lớp, chỉ lớp dưới cùng phụ thuộc vào script, hai lớp còn lại đã hoàn tất trước khi script chạy. Khi nói về cách ly môi trường, trang chủ cũng chia theo ba lớp thiết bị, trình duyệt, mạng.

Lớp kết nối: yêu cầu chưa gửi đi, địa chỉ đã bị ghi lại

Trước khi mở trang, trình duyệt phải bắt tay với máy chủ một lần, rồi mới gửi yêu cầu. Trong quá trình đó, máy chủ đã nắm được địa chỉ đầu ra của bạn cùng một bộ thông số thương lượng.

Thông số thương lượng gồm cách mã hóa mà hai bên hỗ trợ, các mục mở rộng và thứ tự ưu tiên. Báo cái gì, theo thứ tự nào do phiên bản trình duyệt và môi trường chạy quyết định. Những giá trị này không liên quan đến nội dung trang, cũng không cần bạn bấm đồng ý, chúng là sản phẩm phụ của chính việc liên lạc.

Địa chỉ cộng với bộ thông số này đã đủ để sàng thô một lần. Đường truyền thuộc nhà mạng nào, đối phương có vẻ là phiên bản nào, trình duyệt nào, phần lớn đều đoán được đại khái.

Lớp header: trình duyệt mỗi lần đều chủ động khai vài mục

Header là phần mô tả mà trình duyệt gắn thêm vào yêu cầu. Có vài mục gần như lần nào cũng có, ví dụ chấp nhận những ngôn ngữ nào, hỗ trợ những cách nén nào, chuỗi định danh của mình, nhảy đến từ trang nào.

Mục ngôn ngữ do hệ thống và cài đặt trình duyệt quyết định, được ghi chi tiết hơn nhiều người tưởng. Ngay trong tiếng Trung còn chia giản thể, phồn thể và khu vực. Đặc điểm của chúng là im lặng, ổn định, lần nào cũng đưa ra, không đổi theo việc bạn vào trang nào, cũng không đổi khi bạn xóa lịch sử.

Lớp trang: script đọc được nhiều hơn bạn nghĩ

Sau khi trang tải xong, script có thể hỏi tiếp. Kích thước màn hình và cửa sổ, độ lệch múi giờ, số nhân CPU, mức bộ nhớ đều nằm trong phạm vi đọc được. Những giao diện này là công khai trong trình duyệt, tài liệu giao diện của trình duyệt liệt kê chúng rõ ràng, bất kỳ trang nào cũng gọi được trực tiếp.

Khi hỏi "dấu vân tay trình duyệt là gì", đa số nghĩ ngay đến canvas và phông chữ. Hai mục này đúng là bị điểm tên nhiều nhất, lý do không nằm ở chỗ chúng hiếm lạ, mà ở chỗ chúng khó sửa nhất.

Canvas và phông chữ: hai mục bị điểm tên nhiều nhất

Cách làm của canvas (Canvas) rất thẳng thắn. Trang vẽ một hình hoặc một dòng chữ ở vị trí bạn không nhìn thấy, rồi đọc ngược lại bức hình đã vẽ theo từng pixel.

Cùng một đoạn lệnh, vẽ ra trên card đồ họa khác, driver khác, hệ thống khác thì pixel không hoàn toàn giống nhau. Khác biệt nhỏ đến mức mắt thường không thấy, nhưng đủ ổn định. Bạn đổi hình nền, đổi một lần tỷ lệ thu phóng, nó vẫn ở nguyên chỗ cũ.

Danh sách phông chữ đi theo con đường khác. Trang không hỏi bạn cài phông gì, mà lấy một loạt tên phông phổ biến ra thử lần lượt. Dùng một cỡ chữ để render một đoạn chữ, nếu chiều rộng đo được không khớp với dự kiến thì phông đó không có trên máy bạn. Thử càng nhiều tên, bản ghi thu được càng dài.

Những phông lỡ cài kèm khi cài phần mềm thiết kế cũng đều được tính ở đây. Vì vậy dấu vân tay phông chữ thường nói lên nhiều điều hơn cả kích thước màn hình, nó ghi lại bạn từng cài phần mềm gì, bình thường dùng chiếc máy này để làm gì.

Khác biệt render: loại nằm ẩn trong pixel

Canvas chỉ là một cửa ra của khác biệt render. Chuỗi xử lý âm thanh, giao diện đồ họa, giải mã video mỗi thứ đều để lại khác biệt nhỏ gắn với phần cứng, trên cùng một chiếc máy chúng khớp vào nhau, đổi máy khác rất khó tái hiện.

Loại giá trị này có một điểm chung: do phần cứng và driver quyết định, không sửa được. Chỉnh cài đặt trình duyệt, xóa cache, đổi đường truyền đều không chạm tới chúng.

Điều đáng lưu ý hơn số lượng mục là tính ổn định. Loại giá trị này ổn định đến mức dùng làm định danh thiết bị lâu dài được, và cũng chính vì ổn định nên sửa một hai thông số cho hiếm hơn thường không giải quyết được vấn đề.

Tắt JavaScript rồi, vấn đề có được giải quyết?

Tắt script đi, cửa vào thứ ba đúng là bị chặn. Trang không đọc được danh sách phông chữ, cũng không lấy được kết quả render.

Nhưng hai lớp đầu vẫn như cũ. Header không thiếu mục nào, địa chỉ đầu ra vẫn bị ghi lại, thông số thương lượng ở lớp kết nối vẫn còn nguyên. Tắt script chỉ bớt đi một trong số đó, không phải toàn bộ.

Trong thử nghiệm năm 2010, trình duyệt tắt script được xếp riêng thành một nhóm mẫu "tương đối khó lấy dấu vân tay". Hành động này khi đó đúng là có hiệu quả.

Nhưng "tương đối khó" và "giấu được" là hai chuyện khác nhau. Người xung quanh đều bật script, bạn lại rơi đúng vào nhóm nhỏ tắt script, bản thân việc đó đã tạo thành đặc trưng. Trạng thái hiếm gặp không khiến người ta biến mất, chỉ khiến người ta dễ bị lôi ra hơn.

Thứ thực sự cần xử lý không nằm ở đây. Rắc rối mà dấu vân tay mang lại chủ yếu là các danh tính cùng một nhóm bị nối với nhau, chứ không phải một thông số nào đó có đủ kín đáo hay không. Điều này cũng giải thích vì sao chỉnh thông số cho hoa mỹ hơn, hiếm hơn thường không giúp được gì.

Đổi trình duyệt trên cùng một máy tính, mục nào sẽ đổi theo

Không ít người nghĩ cài thêm vài trình duyệt là có thêm vài danh tính, thực tế thay đổi ít hơn tưởng tượng. Theo biểu hiện sau khi đổi trình duyệt, các mục này chia thành hai nhóm:

• Đổi theo: chuỗi định danh trình duyệt, kết quả render của giao diện đồ họa và canvas, danh sách tiện ích, lưu trữ cục bộ và trạng thái đăng nhập.
• Không đổi theo: model card đồ họa và driver, thông số vật lý màn hình, số nhân CPU, mức bộ nhớ, múi giờ hệ thống, phông chữ cấp hệ thống.

Nhóm thứ nhất do trình duyệt tự mang đến, cài lại, nâng cấp, cài tiện ích đều sắp xếp lại. Nhóm thứ hai đến từ phần cứng và hệ thống, đổi bao nhiêu trình duyệt vẫn là cùng một loạt giá trị. Chúng mới là sợi dây nối mấy chiếc máy "trông có vẻ khác nhau" lại với nhau.

Mở ba trình duyệt trên cùng một máy tính, trong mắt trang web gần với ba cách dùng của cùng một thiết bị hơn. Không phải ba thiết bị.

Tự kiểm tra ba bước: dùng bộ phán đoán này thế nào trong quản lý đa tài khoản

Các trang kiểm tra công khai chạy được mà không cần đăng ký. Thay vì nghe kết luận, chi bằng nhìn một lần xem chiếc máy của mình rốt cuộc báo ra cái gì. Đưa vào bối cảnh đa tài khoản, thứ cần định trước còn hơn cả việc đọc kết quả kiểm tra lại là thứ tự, bài thứ tự từ con số không đến môi trường đầu tiên đã xếp proxy, biểu mẫu và danh sách đối chiếu theo trình tự trước sau.

Thứ tự đo có thể định như sau:

1. Trước tiên xem tính duy nhất đến từ mấy mục. Chạy xong không nhìn tổng điểm, nhìn "mấy mục đặc trưng nhất" mà nó đánh dấu, đó thường là phần khó sửa nhất trên bạn.
2. Sau đó đo riêng hai trình duyệt trên cùng một máy, khoanh ra những mục giống nhau cả hai lần. Những mục trùng nhau thuộc lớp phần cứng và hệ thống, đổi trình duyệt cũng không gỡ được.
3. Cuối cùng tắt script đo lại một lần, xem còn những giá trị nào đọc được. Phần còn lại chính là phần lấy được mà không cần script.

Chạy xong ba bước, thường sẽ rơi về cùng một kết luận. Mục thực sự khó sửa không có mấy cái, nhưng chính chúng đang giữ ổn định danh tính của bạn.

Theo kết luận này mà đi tiếp, cách làm trong bối cảnh đa tài khoản không khó suy ra. Việc cần làm là để môi trường của mỗi tài khoản nhất quán trong bộ của chính nó, thông số không cần kỳ lạ hơn.

MostMate đặt việc này vào bước tạo môi trường. Ngôn ngữ, ngôn ngữ giao diện, múi giờ, vị trí địa lý mặc định đi theo đầu ra. Những mục phần cứng như màn hình, số nhân, bộ nhớ chỉ có hai mức là thật và ngẫu nhiên, muốn lệch khỏi giá trị mặc định thì phải tự chọn một lần. Cách lấy giá trị này và bảng đối chiếu với cấu hình thủ công từng mục có thể xem song song trên trang chủ.

Vì sao phải chọn lựa như vậy, bài bốn nguyên tắc thiết kế lần lượt chặn điều gì nói kỹ hơn. Nguyên tắc nào ứng với loại hỏng hóc nào, khi bốn nguyên tắc chọi nhau thì nên giữ cái nào trước, đều nằm trong đó.

Muốn bắt tay ngay, bạn cũng có thể tải MostMate, cài xong rồi dùng ba bước trên đo lại môi trường của mình một lần.

Muốn nhìn trước xem MostMate gom những giá trị này vào một hệ quản lý môi trường như thế nào, có thể bắt đầu từ mô tả sản phẩm.

Câu hỏi thường gặp

Xóa Cookie hay dùng chế độ ẩn danh, dấu vân tay có đổi không?

Không. Cookie và lưu trữ cục bộ là mẩu giấy ghi chú mà trình duyệt để lại cho trang web, xóa đi là hết. Dấu vân tay thì khác, nó là giá trị đọc trực tiếp từ thiết bị và trình duyệt, không hề được lưu trên máy bạn. Chế độ ẩn danh giới hạn việc để lại gì ở cục bộ, không thay đổi việc trình duyệt báo gì ra bên ngoài.

Đổi IP thì có phải đã đổi một danh tính?

Chỉ đổi lớp mạng mà thôi. Tùy chọn ngôn ngữ, phông chữ, card đồ họa, múi giờ hệ thống không đổi theo IP. Nếu khu vực của đường truyền mới không khớp với múi giờ, ngôn ngữ của bạn thì ngược lại còn ghép ra một tổ hợp vô lý.

Cài một tiện ích chống dấu vân tay có ích không?

Cách làm phổ biến là thêm nhiễu vào một số mục, hoặc thống nhất thành một bộ giá trị đại chúng. Thống nhất giá trị đúng là giúp bạn chìm vào đám đông, cái giá là cùng một nhóm người chia sẻ cùng một bộ đặc trưng. Thêm nhiễu thì có thể khiến cùng một môi trường báo ra giá trị khác nhau ở hai lần, bản thân điều đó đã là bất thường. Cả hai cách đều không chạm tới lớp phần cứng và hệ thống.

Trang web có thật sự đối chiếu dấu vân tay không?

Trong chống gian lận và quản trị rủi ro thì đây là biện pháp thường quy, các khâu đăng nhập, đăng ký, thanh toán càng phổ biến. Nhưng đa số trang xem nó như một luồng tín hiệu, đặt cùng hành vi tài khoản và lịch sử thiết bị để nhìn, ít khi chỉ dựa vào một mục mà phán quyết.

Hai chiếc máy tính cùng model hoàn toàn, dấu vân tay có giống nhau không?

Không giống hoàn toàn. Máy cùng model sớm rẽ nhánh ở phiên bản hệ thống, phông chữ, driver, múi giờ, ngôn ngữ, tiện ích đã cài, những khác biệt này đều rơi vào dấu vân tay. Máy nhân bản cài hàng loạt là gần nhau nhất, nhưng đó chỉ chiếm một phần rất nhỏ bối cảnh.

Dùng trình duyệt vân tay rồi thì không bị tìm ra nữa?

Không phải. Trình duyệt vân tay xử lý ranh giới giữa các môi trường, để mỗi tài khoản có một bản sắc trình duyệt độc lập và tự nhất quán. Nó không thay đổi cách nền tảng phán định tài khoản thuộc về ai, cũng không cam kết kết quả nào. Ngoài ra cần phân biệt một điều: tính nhất quán của dấu vân tay là cách tự kiểm tra, không phải quy tắc phát hiện của nền tảng. Coi hai thứ là một sẽ dễ đặt kỳ vọng không thực tế vào công cụ.