Cách lấy thông tin dấu vân tay trình duyệt của bạn? Chia sẻ các phương pháp trích xuất

Bạn đã xóa cookie, mở chế độ ẩn danh, thậm chí đổi cả địa chỉ IP, nhưng khi truy cập trang web, nó vẫn có thể nhận ra bạn. Các đề xuất quảng cáo vẫn y như cũ và hệ thống cảnh báo rủi ro vẫn hoạt động bình thường.

Thứ đang hoạt động ngầm đằng sau chính là dấu vân tay trình duyệt (Browser Fingerprinting). Nó rất khác so với Cookie — Cookie là tập tin lưu trên máy tính của bạn và có thể xóa bất cứ lúc nào. Còn dấu vân tay không được lưu cục bộ, nó được hệ thống tính toán ngay tại chỗ mỗi khi bạn duyệt web. Việc xóa bộ nhớ cache hay đổi tài khoản đều không ảnh hưởng đến nó, miễn là cấu hình thiết bị của bạn không có sự thay đổi lớn, trang web vẫn có thể nhận ra bạn là cùng một người.

Bài viết này sẽ hệ thống lại chi tiết về khái niệm dấu vân tay trình duyệt, cách các trang web trích xuất dấu vân tay của bạn, cách bạn có thể tự kiểm tra, cũng như cách chủ động kiểm soát dấu vân tay khi cần quản lý số lượng lớn tài khoản.

I. Dấu vân tay trình duyệt là gì?

Dấu vân tay trình duyệt là một mã định danh duy nhất do trang web tạo ra bằng cách kết hợp hàng chục đặc điểm trong môi trường duyệt web của bạn. Phiên bản trình duyệt, hệ điều hành, độ phân giải màn hình, danh sách phông chữ, mẫu card đồ họa... Một đặc điểm đơn lẻ có thể nhiều người giống nhau, nhưng khi kết hợp hàng chục đặc điểm lại, xác suất trùng lặp là cực kỳ thấp. Các bài kiểm tra công khai cho thấy tính độc nhất của dấu vân tay thường đạt trên 90%.

Điểm khác biệt cốt lõi giữa nó và Cookie: Cookie do trang web ghi vào máy tính của bạn, bạn có thể tìm và xóa nó; Dấu vân tay do trang web đọc các thông tin phần cứng/phần mềm thiết bị của bạn, được tính toán lại trong mỗi lần truy cập, không lưu trên máy nên không thể xóa được.

Các trang web thường thu thập dấu vân tay qua những phương diện sau:

・Loại trình duyệt, phiên bản, hệ điều hành (User-Agent)

・Độ phân giải màn hình, độ sâu màu, tỷ lệ pixel của thiết bị

・Cài đặt múi giờ và ngôn ngữ

・Danh sách các phông chữ đã cài đặt

・Kết quả kết xuất đồ họa (render) từ Canvas và WebGL

・Đặc điểm xử lý âm thanh (AudioContext)

・Thông tin mạng WebRTC (có nguy cơ rò rỉ IP thật)

・Các tiện ích mở rộng (Extensions) trên trình duyệt và loại MIME

II. Trang web trích xuất dấu vân tay của bạn như thế nào?

Tất cả quá trình này đều nhờ JavaScript chạy ngầm, người dùng hoàn toàn không cảm nhận được và chỉ mất vài giây để hoàn thành. Quá trình gồm các bước sau:

Bước 1: Thông tin bị động cơ bản

Mỗi khi trình duyệt gửi yêu cầu tải trang, nó sẽ tự động gửi kèm các thông tin như User-Agent, ngôn ngữ, múi giờ... Trang web có thể đọc trực tiếp các thông tin này qua những API như navigator.userAgent, screen.width, screen.height. Mặc dù trông rất bình thường, nhưng chúng đã giúp lọc được lượng lớn người dùng — cùng là độ phân giải 1920×1080, nhưng cách render của Windows và macOS không hề giống nhau.

Bước 2: Dấu vân tay Canvas

Trang web yêu cầu trình duyệt vẽ một vài dòng chữ có hiệu ứng chuyển màu (gradient) trên một vùng Canvas bị ẩn, sau đó dùng lệnh toDataURL() để đọc dữ liệu pixel. Vì driver card đồ họa, engine render phông chữ và thuật toán khử răng cưa của từng máy có sự khác biệt nhỏ, đầu ra pixel cuối cùng gần như không thể giống nhau hoàn toàn. Trong suốt quá trình này, điều duy nhất người dùng có thể nhận thấy cùng lắm chỉ là một phần tử ẩn kích thước 1×1 pixel, thường thì hoàn toàn không thấy gì cả.

Bước 3: Dấu vân tay WebGL

Chuyên sâu hơn cả Canvas. Trang web gọi WebGL API để render một mô hình 3D đơn giản, qua đó đọc thông tin về nhà sản xuất GPU, model cụ thể (như Intel Iris hay NVIDIA GeForce), độ chính xác của render, và các thông số biên dịch shader. Rất nhiều hệ thống kiểm soát rủi ro nghiêm ngặt sử dụng WebGL làm tiêu chí đánh giá cốt lõi.

Bước 4: Bổ sung từ Phông chữ và Âm thanh

Trang web sử dụng JavaScript để liệt kê các phông chữ hệ thống — bằng cách đo chiều rộng trên một phần tử ẩn hoặc vẽ trên Canvas bằng các phông chữ khác nhau rồi so sánh pixel. Windows mặc định dùng Arial/Microsoft YaHei, macOS dùng PingFang/San Francisco, sự khác biệt là rất rõ ràng. Về âm thanh, trang web yêu cầu trình duyệt tạo ra một đoạn âm thanh dao động và đọc dữ liệu dạng sóng sau khi xử lý. Do độ chính xác của các phép toán dấu phẩy động trên từng card âm thanh và driver khác nhau, kết quả sẽ có sự sai lệch.

Tổng hợp kết quả

Sau khi thu thập tất cả dữ liệu, mã JS ở frontend sẽ đóng gói chúng thành một đối tượng lớn, dùng thuật toán băm (Hash) để tính ra mã băm và gửi về máy chủ. Máy chủ sẽ so sánh nó với cơ sở dữ liệu hiện có, nếu độ tương đồng vượt ngưỡng cho phép, hệ thống sẽ xác định đây là cùng một người dùng.

III. Cách kiểm tra dấu vân tay trình duyệt của bạn

Có ba cách, từ dễ đến khó:

3.1 Công cụ kiểm tra trực tuyến

Chỉ cần mở các trang web dưới đây để tự động kiểm tra, chúng sẽ hiển thị báo cáo chi tiết về Canvas, WebGL, phông chữ và nhiều mục dấu vân tay khác:

・BrowserScan: Kiểm tra toàn diện, đưa ra điểm đánh giá tính độc nhất và thông tin chi tiết về từng phương diện.

・ToDetect: Hiển thị điểm số dấu vân tay và các yếu tố rủi ro liên quan, hỗ trợ truy cập tốc độ cao.

・AmIUnique: Cho thấy tính độc nhất của dấu vân tay của bạn trên phạm vi toàn cầu.

・BrowserLeaks: Hướng tới dân kỹ thuật, cung cấp báo cáo đầy đủ dưới định dạng JSON.

3.2 Công cụ dành cho nhà phát triển của trình duyệt

Nhấn phím F12 để mở DevTools, chuyển sang tab Console, nhập các lệnh sau để kiểm tra từng mục:

・navigator.userAgent —— Phiên bản trình duyệt và hệ điều hành

・screen.width và screen.height —— Độ phân giải màn hình

・navigator.language —— Cài đặt ngôn ngữ

・Intl.DateTimeFormat().resolvedOptions().timeZone —— Múi giờ

・navigator.hardwareConcurrency —— Số lõi CPU

・navigator.deviceMemory —— Dung lượng RAM của thiết bị

3.3 Tự kiểm tra bằng FingerprintJS

Phù hợp với người dùng có kiến thức cơ bản về frontend. FingerprintJS là một thư viện mã nguồn mở, sau khi chèn vào trang HTML, bạn chỉ cần chạy mã FingerprintJS.load().then(fp => fp.get()) để lấy visitorId và thành phần dấu vân tay hoàn chỉnh, bao gồm giá trị băm của Canvas, danh sách phông chữ, thông tin tiện ích mở rộng, v.v.

IV. Sau khi kiểm tra, cách quản lý dấu vân tay khi có nhiều tài khoản

Đối với người dùng thông thường, hiểu được tình trạng dấu vân tay của mình là đủ. Nhưng nếu bạn làm thương mại điện tử xuyên biên giới, Affiliate, hoặc điều hành một mạng lưới hàng loạt tài khoản mạng xã hội, thì việc chỉ kiểm tra mà không thay đổi sẽ chẳng có ý nghĩa thực tế gì. Điều bạn cần là làm cho mỗi cửa sổ trình duyệt có một môi trường dấu vân tay độc lập, không liên kết với nhau.

Trình duyệt chống phát hiện vân tay (Antidetect Browser) là giải pháp phổ biến nhất cho tình huống này. Lấy Trình duyệt BitBrowser làm ví dụ, nó không phải là lớp ngụy trang bề ngoài thông thường, mà nó tạo ra một dấu vân tay độc lập cho mỗi cửa sổ ngay tại cấp độ nhân Chromium:

・Canvas và WebGL: Bơm nhiễu vi mô (noise), khiến mã băm sau mỗi lần render đều khác nhau.

・Danh sách phông chữ: Giả lập các tổ hợp phông chữ của các hệ thống khác nhau.

・User-Agent: Có thể chuyển đổi tự do giữa Windows, macOS, Android...

・Độ phân giải, múi giờ, ngôn ngữ: Tự động khớp với Proxy IP.

・WebRTC: Ngăn chặn rò rỉ địa chỉ IP thực.

・AudioContext: Giả lập đặc điểm của các loại card âm thanh khác nhau.

Cookie, LocalStorage và bộ nhớ cache của mỗi cửa sổ được hoàn toàn cách ly, dữ liệu không bị trộn lẫn với nhau. Kết hợp với proxy IP riêng biệt, các cửa sổ hoàn toàn không có sự liên kết nào. Phần mềm hiện cung cấp 10 môi trường miễn phí, đáp ứng đủ nhu cầu kiểm tra hàng ngày và vận hành quy mô nhỏ.

V. Các câu hỏi thường gặp (FAQ)

H: Dấu vân tay trình duyệt và Cookie khác nhau như thế nào?

Đ: Cookie là một tệp do trang web ghi vào máy cục bộ của bạn, có thể tìm và xóa trong phần cài đặt trình duyệt. Còn dấu vân tay được trang web tính toán theo thời gian thực dựa trên các đặc điểm phần cứng và phần mềm thiết bị của bạn, nó không được lưu trữ cục bộ nên không thể xóa được. Chế độ ẩn danh (Incognito) cũng không thể ngăn chặn việc thu thập dấu vân tay.

H: Chế độ ẩn danh/riêng tư có thể ngăn chặn việc theo dõi dấu vân tay không?

Đ: Không thể. Chế độ ẩn danh chỉ ngăn trình duyệt lưu lại lịch sử duyệt web và các dữ liệu cục bộ như Cookie, nhưng JavaScript vẫn có thể đọc được các đặc tính thiết bị như Canvas, WebGL, danh sách phông chữ, và độ phân giải màn hình. Dưới góc độ của hệ thống kiểm soát rủi ro, không có sự khác biệt về dấu vân tay giữa chế độ ẩn danh và chế độ thông thường.

H: Công cụ kiểm tra cho thấy tính độc nhất của dấu vân tay rất cao, tôi có cần phải lo lắng không?

Đ: Người dùng thông thường không cần bận tâm, tính độc nhất cao chỉ cho thấy cấu hình thiết bị của bạn có độ nhận diện cao, chứ không trực tiếp đồng nghĩa với việc không an toàn. Tuy nhiên, trong tình huống vận hành hàng loạt nhiều tài khoản, dấu vân tay quá độc đáo lại dễ bị nền tảng để mắt và đánh dấu. Một dấu vân tay lý tưởng để qua mặt thuật toán nên là một cấu hình phổ biến, không thu hút sự chú ý.

H: Chỉ thay đổi User-Agent có đủ không?

Đ: Còn lâu mới đủ. User-Agent là thông tin ở lớp bề mặt nhất, trong khi nền tảng đánh giá thực sự dựa vào các đặc tính ở cấp độ phần cứng như Canvas, WebGL, danh sách phông chữ. Nếu bạn đổi UA thành macOS nhưng kết quả render Canvas lại làm lộ ra đặc điểm card đồ họa của Windows, sự mâu thuẫn dữ liệu này sẽ lập tức bị hệ thống kiểm soát rủi ro đánh dấu là bất thường.

H: Có thể loại bỏ hoàn toàn dấu vân tay không?

Đ: Không thể. Để trình duyệt hiển thị trang web bình thường, bắt buộc phải tiết lộ một số thông tin cơ bản, và bản thân một dấu vân tay bị che giấu/thiếu hụt cũng chính là một tín hiệu đáng ngờ. Cách tiếp cận đúng đắn không phải là che giấu, mà là tạo ra các môi trường dấu vân tay trông giống như thật và cách ly lẫn nhau, để mỗi cửa sổ trông như đang truy cập từ các thiết bị thật hoàn toàn khác biệt.