Browser fingerprinting: vì sao xóa cookie vẫn chưa đủ

Xóa cookie thường được xem là cách bắt đầu một phiên duyệt web mới. Nhưng trang web còn nhìn thấy nhiều tín hiệu khác: ngôn ngữ, múi giờ, kích thước màn hình, khả năng của GPU và cả cách trình duyệt vẽ một hình nhỏ. Bài “Fingerprints are the new cookies”, được chia sẻ trên Hacker News, ghép những tín hiệu này thành một ví dụ dễ hiểu về browser fingerprinting.

Dấu vân tay được tạo như thế nào?

Một thông số riêng lẻ hiếm khi đủ để nhận diện ai đó. Rất nhiều người dùng cùng một ngôn ngữ hoặc cùng độ phân giải màn hình. Nhưng khi kết hợp nhiều thông số, tập thiết bị phù hợp nhỏ dần. Tác giả minh họa bằng một trang chạy JavaScript để lấy dữ liệu từ OfflineAudioContext, WebGL, canvas, Intl và navigator, sau đó băm các giá trị này thành một tên gọi. Đây là bản minh họa của tác giả, không phải phép đo cho thấy mọi công ty quảng cáo đều dùng đúng kỹ thuật đó.

Điểm quan trọng là dấu vân tay gắn với cấu hình thiết bị và trình duyệt, chứ không nằm trong một cookie để ta xóa. Đổi IP bằng VPN cũng không tự đổi GPU, font chữ hay múi giờ. Ngược lại, dấu vân tay có thể thay đổi khi trình duyệt cập nhật, người dùng thay thiết bị hoặc một tín hiệu đo được biến động. Vì vậy nó là công cụ nhận diện theo xác suất, không phải một mã định danh bất biến.

Có thể làm gì?

Nếu muốn tự quan sát, bạn có thể thử Cover Your Tracks của EFF như tác giả gợi ý. Kết quả chỉ phản ánh các phép đo của bài kiểm tra đó. Khi chọn trình duyệt, hãy xem cơ chế chống fingerprinting mà trình duyệt cung cấp và cân nhắc sự đánh đổi về khả năng tương thích của trang web. Việc chặn một script theo dõi vẫn hữu ích, nhưng không có một nút “xóa dấu vân tay” tương đương với xóa cookie.

Bài viết giúp phân biệt hai câu hỏi thường bị gộp lại: trang có lưu một mã theo dõi trên máy ta hay không, và trang có thể nhận ra máy ta qua các đặc điểm quan sát được hay không. Muốn hiểu quyền riêng tư trên web, cần xem cả hai.