Vân tay Canvas là gì? Cách thức hoạt động, rủi ro về quyền riêng tư và bảo vệ

Bạn xóa cookie của mình và mở một cửa sổ riêng tư, tuy nhiên một trang web vẫn có thể suy ra rằng có hai lượt truy cập đến từ cùng một thiết bị. Điều này thường không phụ thuộc vào một mã định danh ẩn. Thay vào đó, trang web kết hợp nhiều đặc điểm được trình duyệt thể hiện. Lấy dấu vân tay Canvas là một trong những tín hiệu đó.

Hướng dẫn này giải thích cách tạo dấu vân tay Canvas, nó khác với cookie như thế nào, tại sao nó có thể hỗ trợ cả bảo mật và theo dõi cũng như cách giảm rủi ro tương quan mà không ảnh hưởng đến độ ổn định của trình duyệt.

1. Dấu vân tay Canvas là gì?

Canvas là tính năng vẽ HTML5. JavaScript có thể yêu cầu trình duyệt vẽ văn bản, hình dạng, độ dốc hoặc hình ảnh rồi đọc kết quả được hiển thị.

Các hướng dẫn vẽ giống nhau có thể tạo ra những khác biệt nhỏ ở cấp độ pixel giữa các thiết bị. Kết quả có thể bị ảnh hưởng bởi hệ điều hành, phiên bản trình duyệt, phông chữ đã cài đặt, GPU, trình điều khiển đồ họa, thư viện kết xuất và hành vi khử răng cưa. Một trang web có thể chuyển đổi kết quả thành dữ liệu và tính toán hàm băm trở thành tín hiệu Canvas có thể tái sử dụng.

Một điểm khác biệt quan trọng: Chỉ riêng giá trị Canvas không đảm bảo sẽ nhận dạng duy nhất một người. Việc nhận dạng sẽ trở nên hiệu quả hơn khi Canvas được kết hợp với Tác nhân người dùng, WebGL, phông chữ, thuộc tính màn hình, ngôn ngữ, múi giờ, AudioContext, địa chỉ IP và các tín hiệu có thể quan sát khác.

2. Dấu vân tay Canvas được tạo ra như thế nào?

Một quy trình thu thập điển hình có bốn bước:

Trang tạo phần tử Canvas ẩn hoặc rất nhỏ.
Tập lệnh vẽ nội dung bằng phông chữ, màu sắc, độ trong suốt và hình dạng được xác định trước.
Trình duyệt hiển thị nó thông qua ngăn xếp phông chữ và đồ họa của hệ thống.
Tập lệnh đọc các pixel hoặc hình ảnh được xuất và tính toán hàm băm.

Các nguồn biến thể phổ biến bao gồm:

hiển thị phông chữ của hệ điều hành;
công cụ và phiên bản trình duyệt;
cài đặt phông chữ và thứ tự dự phòng;
GPU, trình điều khiển đồ họa và tăng tốc phần cứng;
quản lý màu sắc, chia tỷ lệ hiển thị và khử răng cưa;
hành vi kết hợp của Canvas, WebGL và các API đồ họa liên quan.

Quá trình này có thể xảy ra nhanh chóng trong nền. Người dùng có thể không nhìn thấy Canvas hoặc nhận được lời nhắc cấp phép.

So sánh	Cookies	Dấu vân tay Canvas
Nguồn	Dữ liệu được ghi vào trình duyệt bởi một trang web	Kết xuất đặc điểm của trình duyệt và thiết bị
Được lưu trữ cục bộ	Có	Thông thường không yêu cầu giá trị cục bộ liên tục
Người dùng có thể xóa nó không?	Có	Không giống như một cái bánh quy
Duyệt web riêng tư	Bị cô lập hoặc loại bỏ sau phiên	Khả năng kết xuất vẫn khả dụng
Tính ổn định	Phụ thuộc vào thời gian tồn tại của cookie	Phụ thuộc vào phần cứng, phần mềm và chiến lược bảo vệ

Cookie giống như một nhãn được lưu trữ bởi một trang web. Dấu vân tay Canvas gần giống với phép đo được thực hiện trong mỗi lần truy cập. Do đó, việc xóa dữ liệu duyệt web không trực tiếp thay đổi hoạt động đồ họa của thiết bị.

4. Dấu vân tay Canvas có phải lúc nào cũng độc hại không?

Không. Dấu vân tay của trình duyệt có thể được sử dụng để:

xác định các bot, nhồi thông tin xác thực và gian lận tự động;
phát hiện những thay đổi không mong muốn trong thiết bị đăng nhập;
hỗ trợ chấm điểm rủi ro và kiểm tra bảo mật tài khoản;
đo lượt truy cập khi không có cookie;
xây dựng hồ sơ trên các phiên hoặc trang web.

Vấn đề về quyền riêng tư không bị giới hạn ở việc việc thu thập có diễn ra hay không. Nó cũng phụ thuộc vào việc người dùng có được thông báo hay không, phạm vi có cần thiết hay không, dữ liệu được lưu giữ trong bao lâu và liệu nó có được kết hợp với dữ liệu nhận dạng hay được sử dụng để theo dõi trên nhiều trang web hay không.

5. Tại sao duyệt web riêng tư không dừng được?

Duyệt web riêng tư chủ yếu làm giảm dấu vết cục bộ. Nó xóa lịch sử, cookie và dữ liệu trang web tạm thời khi phiên kết thúc. Các trang web vẫn cần JavaScript, phông chữ và API đồ họa để hoạt động, vì vậy Canvas, WebGL, kích thước màn hình và một số đặc điểm hệ thống có thể vẫn có thể quan sát được.

VPN hoặc proxy thay đổi lối thoát mạng nhưng không tự động thay đổi kết xuất Canvas. Nếu IP thay đổi trong khi các giá trị ngôn ngữ, múi giờ, vị trí, Canvas và WebGL mâu thuẫn với nhau thì bản thân sự không nhất quán có thể trở thành tín hiệu rủi ro.

6. Làm thế nào các cá nhân có thể giảm việc theo dõi Canvas

1. Kích hoạt tính năng bảo vệ dấu vân tay tích hợp

Bắt đầu với tính năng theo dõi hoặc bảo vệ dấu vân tay được tích hợp trong trình duyệt của bạn. Một số trình duyệt hạn chế các tập lệnh có rủi ro cao hoặc trả về kết quả đã sửa đổi khi một trang đọc dữ liệu Canvas.

2. Tránh các tiện ích mở rộng không cần thiết và các tùy chỉnh hiếm gặp

Một bộ sưu tập lớn các tiện ích mở rộng, phông chữ hoặc cài đặt cao cấp không phổ biến có thể làm cho tổ hợp trình duyệt của bạn trở nên đặc biệt hơn. Quyền riêng tư không chỉ có nghĩa là che giấu nhiều dữ liệu hơn; nó cũng nhằm tránh một cấu hình độc đáo khác thường.

3. Hạn chế các tập lệnh không đáng tin cậy của bên thứ ba

Việc chặn nội dung và cấp phép trang web chặt chẽ hơn có thể làm giảm việc thực thi mã theo dõi của bên thứ ba. Việc chặn mạnh mẽ cũng có thể phá vỡ CAPTCHA, trình chỉnh sửa, biểu đồ hoặc trang thanh toán, vì vậy hãy kiểm tra tính tương thích một cách cẩn thận.

4. Hiểu được giới hạn của công cụ IP

Proxy và VPN có thể ẩn lối ra mạng ban đầu của bạn, nhưng chúng không phải là công cụ bảo vệ Canvas. Vị trí mạng, ngôn ngữ, múi giờ và cấu hình trình duyệt phải duy trì sự nhất quán hợp lý.

7. Nhóm nhiều tài khoản cần cách ly chứ không phải ngẫu nhiên liên tục

Đối với các nhóm thử nghiệm, thương mại điện tử, quảng cáo, mạng xã hội và thử nghiệm, mục tiêu thường không phải là làm cho cùng một tài khoản luôn trông giống như một thiết bị hoàn toàn mới. Một mô hình hoạt động an toàn hơn là:

sử dụng môi trường riêng cho từng tài khoản;
giữ môi trường của một tài khoản tương đối ổn định theo thời gian;
tách biệt cookie, bộ đệm, bộ nhớ cục bộ và dữ liệu trình duyệt;
căn chỉnh vùng proxy với cài đặt ngôn ngữ, múi giờ và vị trí;
giữ cho Canvas, WebGL, AudioContext và các tín hiệu liên quan nhất quán bên trong.

Nếu môi trường thay đổi đáng kể mỗi lần khởi chạy, nền tảng có thể hiểu đó là việc chuyển đổi thiết bị thường xuyên. Sự ổn định và nhất quán thường có giá trị hơn việc tối đa hóa những thay đổi ngẫu nhiên.

8. Cấu hình bảo vệ Canvas trong PurpleMark

PurpleMark giữ Canvas và các đặc điểm trình duyệt liên quan trong cùng một cấu hình môi trường có thể tái sử dụng.

Bước 1: Tạo môi trường trình duyệt biệt lập

Tạo một môi trường mới trong PurpleMark, đặt tên rõ ràng cho tài khoản cụ thể và liên kết proxy thích hợp. Một quy tắc lâu dài hữu ích là một môi trường ổn định cho mỗi tài khoản.

Bước 2: Kiểm tra tính nhất quán của dấu vân tay cơ bản

Xem lại cài đặt Tác nhân người dùng, hệ điều hành, ngôn ngữ, ngôn ngữ giao diện, múi giờ, vị trí, độ phân giải và phông chữ. Khi sử dụng proxy, các giá trị này thường phải tương thích với vùng proxy.

Bước 3: Cấu hình tiếng ồn phần cứng

Phần Tiếng ồn phần cứng cung cấp các điều khiển riêng cho:

Canvas;
WebGLImage;
AudioContext;
ClientRects;
thiết bị truyền thông;
Giọng nói.

Khi bật nhiễu Canvas, môi trường sẽ sử dụng các thông số nhiễu đã lưu để xử lý tín hiệu Canvas thực. Sau khi bảo vệ môi trường, hãy giữ cấu hình ổn định thay vì liên tục làm mới các giá trị nhiễu trong quá trình hoạt động định kỳ của cùng một tài khoản.

Bước 4: Lưu và xem lại tính nhất quán

Sau khi khởi chạy môi trường, hãy sử dụng trang kiểm tra thông tin trình duyệt đáng tin cậy để xem xét hành vi Canvas và WebGL. Mục tiêu không phải là “ẩn danh tuyệt đối”. Xác nhận rằng các môi trường riêng biệt có thể phân biệt được, rằng cùng một môi trường vẫn ổn định qua các lần khởi chạy và các cài đặt của môi trường đó không mâu thuẫn rõ ràng với nhau.

Bạn có thể quản lý môi trường từ ứng dụng web PurpleMark. Các khả năng chỉ dành cho máy tính để bàn, bao gồm khởi chạy trình duyệt dấu vân tay cục bộ, yêu cầu ứng dụng khách PurpleMark.

##9. Những câu hỏi thường gặp

Không trực tiếp. Cookies là dữ liệu được lưu trữ; Các đặc điểm của Canvas đến từ quá trình kết xuất hiện tại và ngăn xếp phần mềm/phần cứng.

Câu 2: Việc thay đổi địa chỉ IP có làm thay đổi Canvas không?

Thường thì không. IP là tín hiệu mạng, trong khi Canvas là tín hiệu kết xuất đồ họa.

Câu hỏi 3: Hàm băm Canvas khác có đủ để giữ bí mật không?

Không. Các trang web thường kết hợp nhiều tín hiệu. Chỉ thay đổi Canvas không giải quyết được dữ liệu ngôn ngữ, múi giờ, WebGL, phông chữ hoặc hành vi không nhất quán.

Q4: Có nên chặn hoặc sửa đổi Canvas bằng tiếng ồn không?

Nó phụ thuộc vào trường hợp sử dụng. Việc chặn hoàn toàn Canvas có thể phá vỡ các chức năng hợp pháp của trang web và bản thân nó có thể là điều bất thường. Tiếng ồn được kiểm soát nhằm mục đích cân bằng quyền riêng tư và khả năng tương thích.

Câu 5: PurpleMark có thể đảm bảo rằng các tài khoản sẽ không bao giờ được liên kết không?

Không có công cụ nào có thể đảm bảo điều đó. Cách ly môi trường và kiểm soát dấu vân tay giúp giảm rủi ro tương quan kỹ thuật, trong khi chi tiết tài khoản, dữ liệu thanh toán, hành vi và quy tắc nền tảng vẫn quan trọng như nhau.

##10. Kết luận

Dấu vân tay Canvas không phải là một tệp có thể xóa được một cách đơn giản. Nó là phép đo cách trình duyệt hiển thị nội dung. Các cá nhân nên sử dụng các biện pháp kiểm soát quyền riêng tư của trình duyệt đáng tin cậy, trong khi các nhóm nhiều tài khoản nên xây dựng chiến lược hoạt động xung quanh các môi trường biệt lập, ổn định và nhất quán nội bộ.

PurpleMark cung cấp khả năng cách ly môi trường và kiểm soát tiếng ồn phần cứng cho Canvas và các tín hiệu liên quan. Chỉ sử dụng những khả năng này để bảo vệ quyền riêng tư hợp pháp, thử nghiệm được ủy quyền và hoạt động kinh doanh tuân thủ, đồng thời luôn tuân theo các điều khoản của nền tảng mà bạn truy cập.

Đọc thêm: