Xóa Cookies không có nghĩa là website sẽ không thể nhận ra bạn nữa. Trình duyệt để lộ nhiều đặc điểm về thiết bị và phần mềm, có thể được kết hợp thành một “dấu vân tay số”. Nhờ đó, website có thể nhận biết các lần truy cập lặp lại và thậm chí liên kết các tài khoản. Bài viết giải thích nguyên lý, rủi ro và cách giảm thiểu.
Nhiều người cho rằng chỉ cần thường xuyên xóa Cookies thì website sẽ không thể nhận ra mình nữa. Thực tế phức tạp hơn nhiều. Ngay khi bạn mở một trang web, trình duyệt sẽ để lộ nhiều thông tin về thiết bị và phần mềm. Website có thể kết hợp các tín hiệu này để tạo ra một định danh khá “độc nhất”, gọi là browser fingerprint. Ngay cả khi đã xóa Cookies, website vẫn có thể nhận ra bạn nếu các đặc điểm của fingerprint gần như không thay đổi. Bài viết này giải thích browser fingerprinting hoạt động như thế nào, những rủi ro thực tế mà nó mang lại và các hướng giảm thiểu rủi ro.
Website thực sự thu thập những thông tin gì?
Để tạo browser fingerprint, website không cần bạn chủ động cung cấp thông tin. Chỉ cần đọc một số đặc điểm mà trình duyệt tự nhiên để lộ trong mỗi lần truy cập. Các nguồn thông tin thường gặp gồm:
- User-Agent (UA): Mỗi HTTP request đều có một chuỗi chứa thông tin như tên trình duyệt, phiên bản, hệ điều hành và các chi tiết khác;
- HTTP request headers: Ngoài UA, chúng có thể chứa tùy chọn ngôn ngữ (Accept-Language), phương thức nén (Accept-Encoding) và các dữ liệu khác;
- Màn hình và màu sắc: Trình duyệt có thể đọc độ phân giải màn hình và độ sâu màu;
- Danh sách font: Các hệ điều hành và trình duyệt khác nhau hỗ trợ các font mặc định khác nhau;
- Múi giờ: Có thể xác định múi giờ của thiết bị;
- Plugins và extensions: Thông tin có thể cho biết các plugin đã cài hoặc phiên bản của script engine;
- Thông tin phần cứng: Một số kỹ thuật có thể đọc loại CPU, thông tin GPU và các tín hiệu khác;
- Canvas fingerprint: Website yêu cầu trình duyệt vẽ một hình bằng HTML5 canvas. Thiết bị, card đồ họa và driver khác nhau tạo ra những sai khác rất nhỏ khi render, và việc đo các sai khác này có thể tạo ra một tín hiệu đặc trưng.
Nếu xét riêng từng mục, có thể không mục nào đặc biệt “độc nhất”. Nhưng khi hàng chục đặc điểm được kết hợp, profile tạo ra có thể trở nên rất khác biệt đối với một người dùng cụ thể. Điều này cũng giải thích vì sao “xóa Cookies” thường chưa đủ: fingerprint đi theo các tham số của thiết bị và trình duyệt, chứ không phải bản thân Cookie.
Browser fingerprinting có thể gây ảnh hưởng thực tế gì?
Với phần lớn người dùng thông thường, browser fingerprint chủ yếu được dùng cho quảng cáo nhắm mục tiêu và phòng chống gian lận nên tác động có thể không quá rõ ràng. Nhưng nếu bạn làm thương mại điện tử xuyên biên giới hoặc vận hành mạng xã hội ở thị trường nước ngoài và cần quản lý nhiều tài khoản cùng lúc, rủi ro sẽ trở nên cụ thể hơn nhiều.
Các hệ thống đăng ký, đăng nhập và kiểm soát rủi ro thường dùng “độ tương đồng của browser fingerprint” như một tín hiệu để đánh giá nhiều tài khoản có thuộc cùng một người hoặc có liên quan với nhau hay không. Nếu dùng cùng một trình duyệt và các tham số rất giống nhau để đăng ký hoặc đăng nhập nhiều tài khoản, fingerprints có thể giống nhau ở mức cao và các tài khoản có thể bị coi là liên kết. Khi mối liên hệ bị xác định, hậu quả có thể từ việc tài khoản này ảnh hưởng tài khoản khác cho đến cả nhóm tài khoản bị hạn chế, gây tổn thất đáng kể cho hoạt động vận hành.
Vì vậy, với người vận hành nhiều tài khoản, mục tiêu thực sự không phải là “ẩn hoàn toàn”, mà là tách fingerprints và runtime environments của các tài khoản khác nhau, đồng thời duy trì cấu hình ổn định và nhất quán. Cách này giúp tránh để lộ quan hệ do tham số quá giống nhau hoặc thay đổi tùy tiện.
Có thể giảm rủi ro fingerprint từ những khía cạnh nào?
Ý tưởng cốt lõi để giảm rủi ro liên kết bằng fingerprint là giữ các environments “tách biệt và ổn định”. Có thể chia thành một số bước:
Thứ nhất, quản lý browser parameters như một phần của tài khoản. Hệ điều hành, múi giờ, ngôn ngữ, độ phân giải và font đều tiết lộ đặc điểm về thiết bị và khu vực. Các tham số này nên phù hợp với thị trường kinh doanh của tài khoản thay vì đặt ngẫu nhiên hoặc thay đổi thường xuyên. Các đặc điểm render ở cấp phần cứng như Canvas, WebGL và Audio cũng cần được cố định hoặc xử lý hợp lý để tránh nhiều tài khoản cùng để lộ những tín hiệu render giống nhau.
Thứ hai, chạy các tài khoản trong những environments độc lập và tách biệt với nhau. Thay vì liên tục chuyển tài khoản trong cùng một trình duyệt rồi xóa cache, hãy đặt mỗi tài khoản vào một environment riêng, với trạng thái đăng nhập, proxy và bộ tham số riêng để chúng không ảnh hưởng lẫn nhau.
Thứ ba, dùng công cụ quản lý environment để quản lý “parameters” và “environments” tại một nơi. Khi số tài khoản ít, việc chỉnh thủ công vẫn khả thi. Nhưng khi số lượng tăng và còn phải chia theo nền tảng, khu vực, việc cấu hình từng mục bằng tay trở nên không thực tế và dễ sai. Khi đó cần một nơi quản lý tập trung.
PurpleMark là nền tảng quản lý browser environment được thiết kế cho những nhu cầu như vậy. Khi tạo environment, bạn có thể thiết lập hệ điều hành, phiên bản nhân Chromium, User-Agent, độ phân giải, ngôn ngữ, múi giờ và vị trí địa lý. Nền tảng cũng có thể quản lý các chiều fingerprint cấp thấp hơn như Canvas, WebGLImage, AudioContext và WebRTC, gắn proxy cho environment và import login Cookies, để các tài khoản khác nhau sử dụng bộ tham số và runtime environment riêng theo nhu cầu kinh doanh. So với cấu hình thủ công từng mục, PurpleMark gom các thiết lập rời rạc vào một workspace và hỗ trợ phân nhóm, tái sử dụng. Với khả năng cụ thể, hãy tham khảo website chính thức của PurpleMark hoặc giao diện tạo environment thực tế trên phiên bản web.
Một số điều cần hiểu rõ trước
Giảm rủi ro fingerprint không đồng nghĩa với “tìm cách lách quy định của nền tảng”. Mục đích của công cụ quản lý environment là giúp bạn quản lý rõ ràng, có trật tự các tài khoản được vận hành hợp lệ, chứ không phải tạo hàng loạt tài khoản vi phạm hoặc né hệ thống kiểm soát rủi ro. Cũng cần lưu ý rằng tham số càng “ngẫu nhiên” chưa chắc càng tốt. Về lâu dài, cấu hình ổn định, nhất quán và phù hợp với thị trường của từng tài khoản thường là cách bền vững hơn. Và dù environment được tách biệt tốt, điều đó cũng không có nghĩa là “an toàn 100%”, vì nền tảng đánh giá dựa trên nhiều tín hiệu tổng hợp.
Tóm lại trong một câu
Browser fingerprint về bản chất là một “mã nhận dạng” được website tạo ra bằng cách kết hợp hàng chục đặc điểm của thiết bị và trình duyệt. Nó có thể tiếp tục nhận diện bạn ngay cả sau khi xóa Cookies. Với người vận hành nhiều tài khoản, rủi ro nằm ở việc fingerprints quá giống nhau khiến các tài khoản khác nhau bị coi là có liên quan. Điều quan trọng không phải theo đuổi “ẩn hoàn toàn”, mà là tách và giữ ổn định account parameters cùng environments, đồng thời dùng công cụ như PurpleMark để quản lý tập trung environments, fingerprint parameters và proxies. Nếu muốn cấu hình một environment độc lập từ đầu, bạn có thể bắt đầu với PurpleMark phiên bản web.
