Công cụ mới phơi bày mức độ theo dõi trình duyệt của bạn bằng các thủ thuật tinh vi nhất

Bạn có bao giờ tự hỏi các công ty công nghệ dễ dàng theo dõi trình duyệt và thiết bị của bạn đến mức nào để phân biệt bạn giữa hàng tỷ người dùng khác? Một công cụ mới mang tên Glassbox sẽ giúp bạn nhìn thấy rõ điều đó.

Glassbox chạy hoàn toàn trong trình duyệt của người dùng, ngoại trừ việc gọi tới một API định vị địa lý công khai. Nó không gửi bất kỳ dữ liệu nào ra ngoài internet, nhưng lại mô phỏng chính xác các tập lệnh theo dõi, chống gian lận và các thủ thuật lấy dấu vân tay trình duyệt mà bạn có thể gặp phải hàng ngày. Điểm khác biệt so với các công cụ tương tự là Glassbox cung cấp một lượng lớn dữ liệu thô, chưa qua xử lý để người dùng tự phân tích điều gì khiến trình duyệt của mình trở nên "nổi bật", cùng với ước tính về mức độ nhận dạng của dấu vân tay đó.

Kết quả kiểm tra thực tế

Trong quá trình thử nghiệm của tôi, mức độ nhận dạng (identifiability) mà Glassbox đưa ra dao động từ 99% với cửa sổ Chrome dùng cho công việc hàng ngày, xuống mức thấp nhất là 56% khi sử dụng Tor Browser với một mạch (circuit) đang hoạt động.

“Con số 'nhận dạng' là một mô hình trung thực, không phải phép đo chính xác,” David Dale, nhà phát triển Glassbox, chia sẻ trên Hacker News. “Nó tổng hợp entropy công bố cho từng tín hiệu, trừ đi các lớp ngụy trang của trình duyệt, và giới hạn ở mức ~33 bit cần thiết để xác định một người trên Trái Đất.”

Dale cũng giải thích thêm rằng vì công cụ chạy cục bộ nên con số này chỉ là ước tính; Glassbox không có cơ sở dữ liệu dân số trực tuyến để so sánh. Các công cụ khác như AmIUnique hay Cover Your Tracks của EFF lại cung cấp số liệu thực tế từ cộng đồng người dùng.

Nguồn cảm hứng đặc biệt: thủ thuật từ AliExpress

Dale nảy ra ý tưởng xây dựng Glassbox sau khi tìm hiểu về kỹ thuật sóng răng cưa thầm lặng (silent sawtooth waves) được tìm thấy trong mã lấy dấu vân tay trên trang AliExpress của Alibaba. Kỹ thuật này sử dụng âm thanh để xác định trình duyệt của người dùng. Thay vì sao chép các công cụ mã nguồn mở hiện có, anh quyết định tự xây dựng công cụ của riêng mình, với sự trợ giúp của trí tuệ nhân tạo.

“Tôi là một kỹ sư bảo mật lâu năm và doanh nhân độc lập; các công cụ như Claude Code đã giúp tôi dễ dàng hơn nhiều trong việc hoàn thiện ý tưởng và mang những sản phẩm hữu ích đến với nhiều người hơn,” Dale cho biết trong email trả lời tòa soạn.

Cơ chế hoạt động và phát hiện đáng chú ý

Glassbox kết hợp thủ thuật của Alibaba vào thuật toán ước tính của mình, cùng với 30 phép thử khác để thu thập dữ liệu độc nhất từ trình duyệt như:

• Canvas và WebGL để nhận diện card đồ họa
• Thư viện phông chữ (font libraries)
• Tính năng WebAssembly (WASM)
• Ma trận API có sẵn
• Trạng thái đăng nhập chéo giữa các trang web

Theo kết quả từ Glassbox, phiên Chrome dùng cho công việc của tôi gần như là duy nhất trên thế giới với tỷ lệ khoảng 1 trên 7,6 tỷ trình duyệt. Địa chỉ IP thậm chí còn thu hẹp phạm vi hơn nữa — nhà cung cấp dịch vụ internet của tôi sử dụng IPv6, khiến tôi càng dễ bị nhận diện hơn.

Trình duyệt nào an toàn hơn?

Trong số các trình duyệt tôi cài trên máy gồm Safari, Edge, Firefox và Tor, chỉ có Firefox và Tor là không gắn nhãn tôi là "duy nhất trên thực tế", với mức nhận dạng lần lượt là 89% và 56%. Điều này có nghĩa là tôi có cùng dấu vân tay với 1 trên 681 triệu người dùng Firefox và 1 trên 408 nghìn người dùng Tor — vẫn chưa phải là "một con ma" trực tuyến, nhưng chắc chắn tôi đang ở trong một nhóm đông đúc hơn nhiều so với Chrome, Edge hay Safari.

Tuy nhiên, Dale nhắc lại rằng đây vẫn chỉ là ước tính:

“Một công cụ không có máy chủ không thể đo lường độ hiếm thực sự.”

Lời khuyên từ chuyên gia

“Biện pháp tác động lớn nhất là sử dụng một trình duyệt đưa bạn vào một nhóm người dùng giống hệt nhau và đông đảo,” Dale giải thích. “Ngược lại với suy nghĩ thông thường, một thiết lập được 'gia cố' và tùy chỉnh quá kỹ thường khiến bạn dễ bị nhận dạng hơn, vì gần như không ai khác có cấu hình giống bạn. Hòa mình vào đám đông tốt hơn là tạo điểm nhấn riêng.”

Ngoài việc dùng trình duyệt có khả năng che giấu người dùng tốt, Dale khuyên nên sử dụng VPN hoặc Tor, cũng như phải tìm cách đóng lỗ hổng WebRTC leak — một lỗ hổng đã tồn tại từ lâu, cho phép xác định trình duyệt ngay cả khi đang dùng VPN do tính năng này được bật mặc định trong hầu hết các trình duyệt phổ biến.

Glassbox cũng đi kèm một trang các gợi ý riêng về cách ẩn danh trực tuyến. Điều này ngày càng quan trọng khi các kỹ thuật theo dõi ngày càng tinh vi, từ những pixel vô hình cho đến những sóng âm thầm lặng, tất cả đều đang cố gắng tìm ra danh tính thực sự của người dùng để khai thác lợi nhuận.