Dấu vân tay trình duyệt là gì, và vì sao sửa một chi tiết vẫn bị nhận diện

Bạn mở một trang web lần đầu, không đăng nhập, không để lại gì cả. Hôm sau mở lại, trang đó vẫn biết "à, máy này sáng qua đã vào". Không phải phép thuật, cũng không hẳn là cookie. Thủ phạm là dấu vân tay trình duyệt: một tấm thẻ căn cước thầm lặng mà trình duyệt của bạn tự "trình" ra mỗi khi truy cập. Bài này giải thích nó là gì, gồm những gì, và tại sao bạn nghĩ mình đã che giấu mà thực ra vẫn bị nhận diện.

Dấu vân tay trình duyệt là gì

Tưởng tượng mỗi trình duyệt mang theo một bộ đặc điểm nhỏ: màn hình rộng bao nhiêu, múi giờ đặt ở đâu, ngôn ngữ nào, bộ font cài sẵn những gì, cho tới cách card đồ họa vẽ một hình nhất định. Đứng riêng lẻ, mỗi chi tiết chẳng nói lên gì. Nhưng khi ghép hàng chục chi tiết đó lại, tỷ lệ bạn trùng với một người khác cực thấp, thấp đến mức trang web coi toàn bộ tổ hợp đó như một mã định danh. Điểm khác cookie: bạn xoá cookie, đổi trình duyệt bình thường, dấu vân tay vẫn tái hiện, vì nó lấy từ chính thiết bị và cấu hình của bạn.

Nó gồm những gì

Vài món điển hình, nói bằng tiếng người:

• Canvas: trình duyệt vẽ một hình rồi trả về dạng dữ liệu. Do driver card đồ họa và hệ điều hành khác nhau, kết quả hơi lệch ở mỗi máy, đủ để phân biệt.
• WebGL: tương tự, đọc thông tin card đồ họa và khả năng dựng hình.
• Font: danh sách font bạn cài là dấu vết, vì không ai cài y hệt nhau.
• Múi giờ, ngôn ngữ, định dạng ngày: nhỏ nhưng góp phần.
• WebRTC: có thể lộ địa chỉ IP nội mạng, tiết lộ bạn thực sự ở đâu dù đang qua proxy.
• Âm thanh: cách xử lý tín hiệu audio cũng sinh ra một mã nhỏ.

Tất cả cộng lại thành một chữ ký, và trang web thường lấy nó âm thầm, không bật cửa sổ hỏi bạn.

Tại sao sửa một chi tiết lại vô ích

Nhiều người nghĩ: "thế thì tôi đổi user-agent, hoặc tắt canvas là xong". Sai. Vấn đề nằm ở sự kết hợp. Nếu bạn chỉ đổi user-agent thành "tôi là điện thoại" trong khi múi giờ, font, card đồ họa vẫn là máy tính bàn ở Hà Nội, bạn trông như một thiết bị "khớp sai", méo mó, và các hệ thống chống gian lận lại càng dễ gắn cờ. Giống như bạn đổi một nét mặt nhưng giữ nguyên cả khuôn mặt, người ta vẫn nhận ra, mà nhận ra theo kiểu "cái người sửa mặt". Muốn không bị nhận diện, bạn cần một bộ đặc điểm mới, nhất quán, và hợp lý từ đầu đến cuối, chứ không phải vá víu từng chỗ.

Vậy site làm thế để làm gì

Không phải mọi trang dùng fingerprint đều có ý xấu. Ngân hàng, sàn thương mại dùng nó để phát hiện tài khoản bị cướp: nếu hôm qua máy ở Hà Nội, nay đột ngột một dấu vân tay lạ đăng nhập, họ sẽ chặn. Vấn đề chỉ nảy sinh khi bạn có nhu cầu vận hành nhiều tài khoản, hoặc muốn tách biệt môi trường, mà không có công cụ tạo ra các dấu vân tay độc lập, nhất quán.

Khi bạn cần nhiều dấu vân tay độc lập

Chìa khoá ở đây là "nhất quán".

Thay vì chỉ xoá dấu vân tay, các trình duyệt chống phát hiện (antidetect) sẽ tạo ra cho mỗi profile một bộ thông số mới nhưng tự ăn khớp với nhau. Từ múi giờ, ngôn ngữ, card đồ họa đến font chữ đều phải kể cùng một "câu chuyện", và quan trọng nhất là khớp với vùng địa lý của proxy được gán cho profile đó.

Nhờ vậy, mỗi profile sẽ hiển thị như một thiết bị thật, độc lập, thay vì một mớ thông số chắp vá dễ bị hệ thống gắn cờ. Các giải pháp như BitBrowser cũng đang tiếp cận theo đúng hướng này để đảm bảo tính ổn định cho môi trường đa tài khoản.

Tổng kết

Dấu vân tay trình duyệt không phải một thứ bạn tắt bằng một nút. Nó là tập hợp hàng chục đặc điểm nhỏ, và sức mạnh nằm ở sự kết hợp. Đổi lẻ một chi tiết chỉ làm bạn nổi bật hơn. Muốn tách biệt thật sự, bạn cần những môi trường có fingerprint tự nhất quán và khớp với địa điểm của chúng, chứ không phải vá từng chỗ một. Hiểu nguyên lý này, bạn mới biết tại sao công cụ chống phát hiện lại xoay quanh việc "tạo ra một thiết bị tin cậy" hơn là "che giấu".