Hồ sơ trình duyệt và cách ly: tách biệt tài khoản thực sự nghĩa là gì
"Cách ly" là từ ai cũng dùng để chỉ việc giữ các danh tính trình duyệt tách biệt, và nó bao hàm nhiều thứ khác nhau. Bài viết này tách chúng ra, vì thứ dễ làm không phải là thứ quan trọng.
Cách ly lưu trữ
Một hồ sơ trình duyệt có cookie, local storage, bộ nhớ đệm, lịch sử, mật khẩu đã lưu và tiện ích mở rộng riêng. Hai hồ sơ không thể thấy cookie của nhau, nên một trang web không thể kết nối chúng qua lưu trữ. Mọi trình duyệt phổ biến đều hỗ trợ nhiều hồ sơ, và mức cách ly này đã được giải quyết. Nếu đây là tất cả những gì một trang web nhìn thấy, việc giữ các tài khoản tách biệt chỉ là chuyện nhấp "hồ sơ mới".
Cách ly mạng
Hai hồ sơ dùng cùng một địa chỉ sẽ đến từ cùng một nơi. Một trang web thấy hai tài khoản từ cùng một địa chỉ dân cư vào cùng một lúc đã học được điều gì đó, và nếu múi giờ và ngôn ngữ cũng khớp thì nó học được nhiều hơn. Cách ly mạng nghĩa là mỗi hồ sơ có tuyến đường riêng, thường là một proxy, và tuyến đường đó mang mọi thứ: HTTP, WebRTC và, khi có thể, DNS. Một hồ sơ có proxy chỉ bao phủ HTTP là cách ly trên giấy và kết nối trong thực tế.
Cách ly vân tay
Đây là phần khó. Hai hồ sơ trên cùng một máy với cùng bản dựng trình duyệt tạo ra cùng giá trị băm canvas, cùng giá trị băm âm thanh, cùng chuỗi bộ kết xuất, cùng số luồng, cùng hình học màn hình và cùng danh sách phông chữ. Từ góc nhìn của một trang web, đó là một chiếc máy với hai lọ cookie. Để chúng trông như hai chiếc máy, trình duyệt phải báo cáo các giá trị khác nhau cho những thuộc tính đó, một cách nhất quán, theo từng hồ sơ.
Sự nhất quán là nơi việc này thường thất bại. Các giá trị phải mô tả một chiếc máy có thật: một hệ điều hành, một GPU đi kèm với nó, kích thước màn hình và tỷ lệ điểm ảnh phù hợp với nhau, một user agent, Client Hints và navigator.platform thống nhất, và phông chữ thuộc về hệ điều hành đó. Chúng phải giữ nguyên qua các lần truy cập, vì vân tay thay đổi mỗi ngày tự nó là một tín hiệu. Và chúng phải vượt qua các phép so sánh mà trang web thực hiện giữa các nguồn: user agent với bộ kết xuất, múi giờ với địa chỉ, ứng viên WebRTC với yêu cầu.
"Che giấu" sai ở đâu
Chặn mọi thứ không phải là cách ly; đó là một vân tay khác. Một trình duyệt trả về "không khả dụng" cho canvas, âm thanh, WebGL và WebRTC trông giống một công cụ bảo mật riêng tư, vốn là một nhóm nhỏ và dễ nhận ra. Mục tiêu của một hồ sơ hoạt động tốt thì ngược lại: trông như một chiếc máy bình thường, tẻ nhạt, đọc được đầy đủ, với mọi tín hiệu thống nhất. Điều kiện thành công không phải là trang chẩn đoán không hiển thị gì, mà là nó hiển thị một chiếc máy hợp lý và không có điểm không khớp nào.
Cách kiểm tra một hồ sơ
Mở một trang chẩn đoán trong hồ sơ và đọc nó như một trang web sẽ đọc. Bộ kết xuất có khớp với hệ điều hành không? Múi giờ có khớp với địa chỉ không? WebRTC chỉ để lộ địa chỉ của proxy, hay không để lộ gì? Tải lại: các giá trị băm có giữ nguyên không? Sau đó mở hồ sơ thứ hai và xác nhận các giá trị khác với hồ sơ đầu. Một trang như PowerScan hiển thị chúng cạnh nhau, đánh dấu các phép so sánh khác biệt và không lưu gì cả, nên việc kiểm tra có thể lặp lại và không để lại dấu vết.
Ghi chú về những gì trang này không tuyên bố
PowerScan không chấm điểm độ xác thực, không phát hiện proxy và không quyết định một trình duyệt có phải bot hay không. Những phán đoán đó cần dữ liệu mà script của trang không có, và hiển thị một con số cho chúng sẽ là đoán mò. Điều nó làm là đọc cùng các tín hiệu mà một trang web đọc và chỉ ra nơi chúng mâu thuẫn. Đó là phần bạn có thể hành động.
PowerOps
