Vân tay trình duyệt là gì, và một trang web thực sự đọc được những gì?
Mỗi lần bạn mở một trang, trình duyệt trao cho trang web một danh sách dài các thông tin về chính nó. Không thông tin nào là bí mật, không thông tin nào xin phép, và phần lớn tồn tại để trang hiển thị đúng. Lấy vân tay trình duyệt là khi một trang web thôi dùng những thông tin đó để hiển thị và bắt đầu dùng chúng để nhận ra bạn.
Một trang có thể đọc gì mà không cần hỏi
Một script chạy trong tab bình thường có thể đọc, trong số nhiều thứ khác: chuỗi user agent, danh sách ngôn ngữ ưu tiên, múi giờ, kích thước màn hình và mật độ điểm ảnh, số luồng CPU, một con số làm tròn của bộ nhớ thiết bị, độ sâu màu, có hỗ trợ cảm ứng hay không, tên bộ kết xuất đồ họa phía sau WebGL, và kết quả của việc vẽ một hình nhỏ lên canvas hay kết xuất một bộ đệm âm thanh ngắn. Nó cũng có thể quan sát một số thao tác mất bao lâu, phông chữ nào làm thay đổi độ rộng của một dòng chữ, và những thiết bị đa phương tiện nào tồn tại (số lượng chứ không phải tên, trừ khi bạn cấp quyền truy cập).
Từng thứ riêng lẻ đều tẻ nhạt. Một múi giờ thu hẹp bạn xuống vài trăm triệu người. Kết hợp lại, chúng thu hẹp bạn xa hơn nhiều, vì chính sự kết hợp mới hiếm. Một máy Windows với chuỗi bộ kết xuất NVIDIA cụ thể, 12 luồng, màn hình 2560×1440, tiếng Pháp và tiếng Anh theo thứ tự đó, cùng một giá trị băm canvas nhất định thì không phải là đám đông.
Điều gì khiến một tín hiệu hữu ích cho việc định danh
Ba thuộc tính quan trọng. Tín hiệu phải ổn định: cùng một trình duyệt phải cho cùng một giá trị vào ngày mai. Nó phải đa dạng: các trình duyệt khác nhau phải cho giá trị khác nhau. Và nó phải rẻ: đọc được trong vài mili giây mà không cần hộp thoại xin quyền. Giá trị băm canvas đạt điểm tốt ở cả ba, đó là lý do nó xuất hiện trong mọi thư viện lấy vân tay. Kích thước màn hình đạt tốt hai tiêu chí đầu và tuyệt đối ở tiêu chí thứ ba. User agent từng đạt điểm tốt về độ đa dạng và đã bị các nhà cung cấp trình duyệt cố tình làm phẳng đi vì chính lý do đó.
Một trang không đọc được gì
Phần này hay bị phóng đại. Script của trang không thể thấy địa chỉ thật của bạn nếu bạn đứng sau proxy: nó thấy bất cứ thứ gì proxy trình bày. Nó không thể đọc các tab khác, lịch sử, dấu trang hay mật khẩu đã lưu của bạn. Nó không thể biết chắc bạn có đang ở cửa sổ riêng tư hay không; các phương pháp dò đoán tuyên bố làm được điều đó thường xuyên bị vô hiệu. Nó không thể biết tên bạn. Và nó không thể tự quyết định một địa chỉ là proxy hay trung tâm dữ liệu: phán quyết đó đến từ một cơ sở dữ liệu uy tín mà trang web trả tiền để dùng, không phải từ bất cứ điều gì trình duyệt của bạn nói.
Các trang hiển thị "điểm bot" hay "proxy: có" đang kết hợp những gì trình duyệt của bạn báo cáo với dữ liệu từ bên thứ ba. Làm vậy là hợp pháp, nhưng điều quan trọng là biết nửa nào là đo đạc và nửa nào là tra cứu.
Vì sao có các trang chẩn đoán
Một trang chẩn đoán như PowerScan đọc cùng những tín hiệu mà một công cụ theo dõi sẽ đọc và hiển thị chúng cho bạn thay vì lưu lại. Mục đích không phải để chấm điểm bạn. Mà là để bạn kiểm tra hai điều: liệu một tín hiệu bạn mong đã được ẩn có đang hiển thị hay không, và liệu các tín hiệu có nhất quán với nhau hay không. Sự không nhất quán là thứ khiến tài khoản bị gắn cờ: một địa chỉ ở nước này, đồng hồ trình duyệt ở nước khác, một ứng viên WebRTC không khớp với địa chỉ bạn đến từ đó.
Khi đọc một báo cáo, hãy xem mỗi dòng là câu trả lời cho một câu hỏi: "trình duyệt này vừa nói gì với trang này?" Không hơn. Một giá trị băm không phải là phán quyết, và số lượng tín hiệu đọc được không phải thước đo bạn trông thật đến đâu.
