"Dấu vân tay trình duyệt" — Cookie mới của kỷ nguyên số

Bạn tắt JavaScript, xóa cookie, bật VPN, mở chế độ ẩn danh — và vẫn bị nhận ra. Đó không phải là kịch bản phim kinh dị, mà là cách fingerprinting (lấy dấu vân tay thiết bị) đang âm thầm thay thế cookie bên thứ ba trong toàn bộ ngành quảng cáo trực tuyến. Bài viết dưới đây tổng hợp và phân tích nội dung từ một bài chia sẻ kỹ thuật đang gây chú ý trên Hacker News, giúp bạn hiểu rõ cơ chế, mức độ nguy hiểm và cách tự bảo vệ mình.

Cookie đã chết, nhưng theo dõi thì chưa

Minh họa về độ mạnh của mật khẩu

Trong nhiều năm, cookie bên thứ ba là trụ cột của ngành quảng cáo số. Nhưng khi Safari và Firefox chặn cookie, khi EU đưa ra các banner xin đồng ý, và khi chính Google — công ty quảng cáo lớn nhất hành tinh — tuyên bố sẽ khai tử cookie (rồi trì hoãn, rồi đổi hướng), giới quảng cáo cần một giải pháp thay thế.

Câu chuyện được tóm gọn trong ba hồi: Gây áp lực (Google cam kết vì quyền riêng tư), Gây nhiễu (đưa ra Privacy Sandbox rồi không ai dùng), và Tăng tốc (cho phép dùng fingerprinting ngay trong sản phẩm quảng cáo).

Điểm mấu chốt: trong khi cookie có thể bị xóa, dấu vân tay thiết bị thì không thể xóa bằng cách thông thường. Nó không lưu gì trên máy bạn — nó chỉ đo đạc máy bạn.

Fingerprinting hoạt động như thế nào?

Mỗi lần bạn truy cập một trang web, trình duyệt gửi yêu cầu tới máy chủ, và máy chủ có thể trả về mã để trình duyệt thực thi. Hai nguồn dữ liệu chính hình thành nên dấu vân tay:

• Từ yêu cầu mạng: địa chỉ IP, header User-Agent, Accept-Language — cho biết trình duyệt, hệ điều hành và ngôn ngữ của bạn.
• Từ môi trường thực thi mã: đo trực tiếp phần cứng mà không cần bất kỳ sự cho phép nào.

Các phép đo phần cứng đáng chú ý bao gồm:

• GPU: hành vi, nhà sản xuất, driver
• CPU: số luồng, nhà sản xuất, hành vi
• Dung lượng bộ nhớ
• Dữ liệu màn hình: độ phân giải, tỷ lệ pixel, tần số quét
• Xử lý âm thanh (qua OfflineAudioContext)
• Model thiết bị, font đã cài, tiện ích mở rộng, múi giờ hệ thống...

Từng thông tin riêng lẻ có thể rất phổ biến. Hàng triệu người dùng Chrome mới nhất. Hàng triệu máy Mac dùng chip M4. Hàng triệu trình duyệt đặt tiếng Pháp. Nhưng khi gộp lại — Chrome tiếng Pháp trên Mac M4 với cấu hình GPU cụ thể — số lượng ứng viên giảm xuống mức gần như duy nhất.

Toán học đằng sau "phép thuật" nhận diện

Bạn từng chơi Akinator chưa? Nghĩ về một nhân vật, trả lời vài câu hỏi, và nó đoán trúng. Fingerprinting chính là Akinator — chỉ khác là trình duyệt của bạn tự trả lời thay bạn.

Khái niệm cốt lõi là entropy thông tin. Mỗi câu hỏi có giá trị phụ thuộc vào mức độ hiếm của câu trả lời:

• Đặc điểm có ở 1/2 người → đáng 1 bit
• Ở 1/8 người → đáng 3 bit
• Ở 1/128 người → đáng 7 bit

Càng hiếm thì thông tin càng giá trị. Về lý thuyết, các đặc điểm độc lập có thể cộng dồn bit lại với nhau. Nhưng trong thực tế, như Thomas Bayes đã chỉ ra, các đặc điểm thường không độc lập — nên con số thực tế thấp hơn tính toán lý thuyết.

Một ví dụ đáng sợ: mã bưu chính (suy ra từ IP), ngày sinh (bạn từng nhập ở đâu đó) và giới tính (bạn điền khắp nơi) — chỉ ba thông tin này đã đủ nhận diện duy nhất hơn 60% người Mỹ.

Cuộc chơi chuyển hướng: từ bạn sang "dữ liệu về bạn"

Điểm đáng lo không nằm ở quảng cáo. Như tác giả bài gốc thẳng thắn đặt vấn đề:

"Tôi nhìn vào tất cả dữ liệu này và tôi không thấy con người. Tôi thấy các mẫu hình. Những mẫu hình nảy sinh từ những mẫu hình khác. Quả cầu pha lê của thế kỷ 21 — và nó được làm bằng silicon!"

Khi dấu vân tay thiết bị gắn liền với một tài khoản, toàn bộ dữ liệu bạn tạo ra — tên, hoạt động, hội thoại với AI — có thể được đóng gói và bán cho người trả giá cao nhất, kể cả cơ quan thực thi pháp luật. Chuyện "tôi không có gì phải giấu" trở nên vô nghĩa khi vấn đề không còn là bạn, mà là sức mạnh mà dữ liệu về bạn tạo ra.

Bạn có thể làm gì?

Các trình duyệt hiện nay được chia thành ba nhóm theo mức độ bảo vệ:

• Chrome và Edge: chỉ bảo vệ ở mức cô lập (không cho website đọc dữ liệu của nhau). Về fingerprinting, bạn gần như "đeo bảng tên trên trán".
• Safari và Firefox: mở rộng bảo vệ sang quyền riêng tư, nhưng vẫn bị các tracker tinh vi nhận diện.
• Brave, Tor và Mullvad Browser: áp dụng hai chiến lược đối phó. Brave dùng farbling — thêm nhiễu ngẫu nhiên để dấu vân tay không ổn định. Tor và Mullvad chọn cách làm cho mọi người trông giống nhau để không phân biệt được ai với ai.

Cách tự kiểm tra: truy cập coveryourtracks.eff.org của EFF để xem dấu vân tay và entropy của trình duyệt bạn đang dùng.

Lưu ý trớ trêu: các tiện ích chống theo dõi lại khiến bạn trở nên độc nhất hơn, vì ít người cài chúng. Tracker thông minh có thể phát hiện điều đó, bỏ qua các tín hiệu bị nhiễu và tập trung vào phần còn lại. Không có tiện ích nào hiệu quả bằng bảo vệ ở cấp độ engine trình duyệt.

Kết luận

Fingerprinting không phải là một thủ thuật rẻ tiền — nó là sự kết hợp tinh vi giữa toán học thông tin, đo lường phần cứng và hành vi người dùng. Trong khi cuộc chiến pháp lý quanh cookie còn đang dang dở, ngành quảng cáo đã lặng lẽ chuyển sang phương thức mà người dùng không thể xóa, khó phát hiện, và gần như không thể thoát nếu không thay đổi thói quen duyệt web.

Đối với người dùng Việt Nam — nơi nhận thức về quyền riêng tư số còn thấp và các ứng dụng quảng cáo theo dõi xuyên thiết bị ngày càng phổ biến — đây là lời nhắc nhở đáng suy ngẫm: bảo vệ dữ liệu cá nhân không còn là xóa cookie nữa, mà là một lựa chọn có chủ đích về công cụ và thói quen.