Bluesky vẽ logo lên ảnh chụp màn hình: Thủ thuật iOS hay sự lạm dụng API bảo mật?

Bluesky, mạng xã hội phi tập trung, đang gây chú ý với chiêu trò kỹ thuật độc đáo: khi người dùng chụp màn hình một bài đăng, logo của ứng dụng sẽ xuất hiện ở góc phải, thay thế nút "Follow" vốn hiển thị bình thường. Thủ thuật này dựa trên việc tận dụng một tính năng bảo mật của iOS để che giấu nội dung, tạo ra hiệu ứng bất ngờ và khéo léo.

Phát hiện này đến từ nhà phát triển Tim Marinin, người đã chia sẻ chi tiết quá trình tìm hiểu trên blog cá nhân. Ban đầu, anh chỉ tình cờ nhận thấy logo Bluesky xuất hiện trong ảnh chụp màn hình, trong khi trên màn hình thực tế không hề có. Sự tò mò đã dẫn anh đến việc khám phá mã nguồn mở của ứng dụng và tìm ra câu trả lời nằm trong một file có cái tên đầy ẩn ý: GrowthHack.tsx.

Bí mật nằm trong UITextField

Theo tìm hiểu của Marinin, đằng sau hiệu ứng này là một package có tên expo-privacy-sensitive, do chính một thành viên của đội ngũ Bluesky phát triển. Kỹ thuật này hoạt động dựa trên một đặc tính tinh tế của iOS: khi người dùng chụp màn hình, hệ thống sẽ tự động làm trống nội dung của các trường nhập liệu bảo mật (isSecureTextEntry).

Bluesky đã tận dụng điều này bằng cách tạo một UITextField ẩn với thuộc tính bảo mật được bật, sau đó nhúng nút "Follow" (hoặc nội dung khác) vào bên trong lớp .layer của trường này. Khi người dùng chụp màn hình, iOS sẽ che đi toàn bộ khu vực này vì cho rằng đó là dữ liệu nhạy cảm, để lộ lớp nền bên dưới - nơi logo Bluesky được đặt sẵn. Kết quả là trong ảnh chụp, logo hiện ra một cách hoàn hảo, còn trên màn hình thực tế thì không.

Điều thú vị là thủ thuật này không hoạt động khi người dùng chuyển đổi giữa các ứng dụng. Marinin giả thuyết rằng iOS chụp nhanh (snapshot) giao diện tại thời điểm bắt đầu cử chỉ chuyển ứng dụng, trước khi kích hoạt cơ chế làm trống nội dung nhạy cảm. Do đó, ảnh chụp màn hình khi đang chuyển ứng dụng vẫn hiển thị nút "Follow" bình thường.

Ảnh chụp khi đang chuyển ứng dụng vẫn hiển thị nút Follow

Mẹo hay hay sự lạm dụng API?

Phát hiện này đã gây ra một cuộc tranh luận trong cộng đồng phát triển ứng dụng. Nhiều người trong luồng thảo luận (thread) trên GitHub không hài lòng với cách tiếp cận này, cho rằng việc tận dụng một API được thiết kế cho mục đích bảo mật để phục vụ mục đích marketing là một sự lạm dụng. Cuộc thảo luận sau đó đã bị khóa bởi quản trị viên.

Tuy nhiên, Marinin lại có cái nhìn tích cực hơn. Anh nhận xét: "Tôi nghĩ điều này khá đáng yêu" và cho rằng đây là một mẹo thông minh. Điều này không hoàn toàn mới mẻ: Telegram và Signal cũng đã áp dụng kỹ thuật tương tự cho các cuộc trò chuyện bí mật của họ, nhằm ngăn chặn việc bị chụp màn hình. Vì vậy, Marinin dự đoán Apple sẽ không sớm vá lỗ hổng này.

Ảnh minh họa logo Bluesky trên ảnh chụp màn hình

Kết luận

Dù bị coi là một chiêu trò tinh vi hay một sự lạm dụng API, không thể phủ nhận rằng đây là một minh chứng thú vị cho sự sáng tạo không giới hạn của các nhà phát triển. Nó cho thấy việc hiểu rõ các hành vi hệ thống ở mức độ sâu có thể mang lại những giải pháp độc đáo. Đối với người dùng Việt Nam, đây cũng là một lưu ý nhỏ: khi chụp màn hình các bài đăng trên Bluesky, chúng ta có thể nhìn thấy logo của ứng dụng thay vì nút Follow — một đặc điểm thú vị để nhận biết. Và nếu bạn đang phát triển ứng dụng iOS, đừng ngạc nhiên khi thấy kỹ thuật này xuất hiện ngày càng nhiều trong các sản phẩm khác.