Trong bối cảnh sự riêng tư trên Internet ngày càng trở nên quan trọng, chúng ta thường thấy nhiều cuộc thảo luận về "trình duyệt tốt nhất". Tuy nhiên, một sự thật ít người biết là: Tất cả các trình duyệt đều tiềm ẩn rủi ro về quyền riêng tư và bảo mật, một số rủi ro chúng ta có thể kiểm soát, trong khi những rủi ro khác hoàn toàn nằm ngoài tầm kiểm soát của chúng ta.
Điều đáng lo ngại hơn nữa là nhiều tính năng rủi ro ban đầu được phát triển dưới danh nghĩa "bảo vệ người dùng" hoặc "tăng cường sự tiện lợi", nhưng chúng thường gây ra mối đe dọa nghiêm trọng đối với quyền riêng tư. Đây chính là bản chất khác biệt giữa an ninh mạng và bảo vệ quyền riêng tư — nhiều "chuyên gia an ninh mạng" chỉ tập trung vào sự an toàn của chức năng mà hoàn toàn bỏ qua quyền riêng tư của người dùng.
Bài viết này sẽ làm sáng tỏ những cạm bẫy quyền riêng tư ẩn giấu trong trình duyệt và cuối cùng chia sẻ một bộ chiến lược phân tách trình duyệt thiết thực để giúp bạn giảm thiểu hiệu quả những rủi ro này.
Hãy để tôi chia sẻ một kinh nghiệm thực tế. Tôi đã từng thử nghiệm các chức năng của trình duyệt trên một chiếc điện thoại không sử dụng dịch vụ Google, một thiết bị thường được tách biệt hoàn toàn khỏi Google và không thể liên kết với bất kỳ ID Google nào. Trong quá trình thử nghiệm, tôi đã đăng nhập Gmail trên trình duyệt Chromium, sau đó đăng xuất và hoàn toàn quên mất điều đó.
Vài tháng sau, khi xem lại trang bảo mật của Google, tôi đã bị sốc khi phát hiện ra: Google không chỉ nhận diện được chiếc điện thoại không sử dụng dịch vụ Google của tôi mà còn ghi lại chính xác thông tin vị trí của tôi!
Điều này khiến tôi nhận ra rằng, ngay cả khi đã đăng xuất tài khoản, vẫn có một chương trình nào đó đang chạy ngầm trong trình duyệt — đó chính là Web Workers.
Web Workers là đoạn mã JavaScript có thể chạy ngầm trong trình duyệt, với các đặc điểm sau:
Trong trường hợp của tôi, Web Worker được cài đặt bởi Gmail đã liên tục gửi thông tin thiết bị đến máy chủ Google, ngay cả khi tôi đã đăng xuất tài khoản.
Cách duy nhất hiệu quả để loại bỏ chúng là xóa hoàn toàn Cookies của trình duyệt. Nhưng nếu bạn quên xóa, Web Worker sẽ tiếp tục theo dõi hoạt động trực tuyến của bạn.
HSTS (HTTP Strict Transport Security, Bảo mật truyền tải nghiêm ngặt HTTP) ban đầu là một tính năng bảo mật nhằm ngăn chặn kẻ tấn công độc hại hạ cấp kết nối HTTPS xuống kết nối HTTP không được mã hóa.
Khi một trang web bật HSTS, nó sẽ tạo ra một "Super Cookie" trong trình duyệt, buộc trình duyệt luôn sử dụng HTTPS để truy cập trang web đó. Về lý thuyết, ngay cả khi ai đó sửa đổi mã trang web để cố gắng chuyển sang HTTP, trình duyệt cũng sẽ tự động chuyển lại về HTTPS.
Tuy nhiên, có một vấn đề chết người ở đây: HSTS Super Cookie hoàn toàn không thể xóa bằng các phương pháp thông thường! Đây là lý do tại sao chúng được gọi là "Super Cookies".
Điều này có nghĩa là:
Một số trình duyệt cung cấp các phương pháp xóa phức tạp, nhưng bạn thậm chí còn không thể dễ dàng xem những Cookie nào là Super Cookies.
Những người thiết kế tính năng này rõ ràng đã hoàn toàn bỏ qua các vấn đề về quyền riêng tư. Trên thực tế, trang web hoàn toàn có thể tắt truy cập HTTP trực tiếp trên máy chủ mà không cần để lại dấu hiệu theo dõi không thể xóa trong trình duyệt.
Nhiều người thích sử dụng tính năng tự động điền của trình duyệt: nhập tên, địa chỉ một lần, sau đó tự động điền khi truy cập các trang web khác. Trình quản lý mật khẩu cũng sử dụng cơ chế tương tự để đăng nhập trang web tự động.
Tuy nhiên, điều này mang lại hai rủi ro về quyền riêng tư:
Trường hợp thực tế: Anh họ tôi đã mượn máy tính của tôi để truy cập một trang web thương mại điện tử. Sau khi anh ấy rời đi, tôi nhấp vào trang web đó, trình duyệt tự động đăng nhập vào tài khoản của anh ấy, tôi có thể thấy tất cả các bản ghi giao dịch của anh ấy, thậm chí có thể thực hiện hành động thay anh ấy!
Mối đe dọa nguy hiểm hơn là: Bất kỳ trang web nào cũng có thể nhúng các trường biểu mẫu ẩn (như tên, địa chỉ) vào trang, trình duyệt sẽ tự động điền các trường này. Thông qua JavaScript, trang web có thể thu thập dữ liệu này trước khi bạn nhấp vào "Xác nhận" hoặc "Lưu".
Tôi đã tạo một trang web thử nghiệm để xác minh điều này: không chỉ có thể lấy dữ liệu tự động điền mà còn có thể ẩn biểu mẫu, đánh cắp thông tin mà không hề hay biết.
Không bao giờ bật tính năng tự động điền hoặc trình quản lý mật khẩu trên bất kỳ trình duyệt nào.
Nhiều người không biết về cách hoạt động của các tiện ích mở rộng trình duyệt, vì vậy họ cài đặt các tiện ích một cách không do dự.
Lấy ví dụ về tiện ích kiểm tra ngữ pháp Grammarly, nó chứa nhiều rủi ro về quyền riêng tư:
Về lý thuyết, bất kỳ tiện ích mở rộng trình duyệt nào cũng có thể:
Mặc dù các trình duyệt hiện đại đã chặn việc tải xuống trực tiếp các tệp thực thi (như .exe hoặc .bat), kẻ tấn công vẫn có thể:
Vì mỗi bước là một thao tác "vô hại" độc lập, phần mềm diệt virus thường không thể phát hiện các cuộc tấn công kết hợp này.
Thường xuyên kiểm tra thư mục tải xuống mặc định của trình duyệt, xóa bất kỳ tệp nào bạn không nhận ra.
Google hiện phân loại sở thích của bạn dựa trên các trang web bạn truy cập và ghi lại chúng trong "Chủ đề quảng cáo" (Ad Topics) của trình duyệt.
Mặc dù Google luôn theo dõi bạn, nhưng điểm khác biệt của Chủ đề quảng cáo là:
Tin tốt là Google đã hạn chế mức độ chi tiết của các chủ đề. Ví dụ, ngay cả khi bạn quan tâm sâu sắc đến chính trị, chủ đề có thể chỉ hiển thị "Tin tức" mà không tiết lộ quan điểm chính trị của bạn.
Hiện chỉ được triển khai trên Chrome, có thể tắt trong cài đặt: Cài đặt > Quyền riêng tư và bảo mật > Quyền riêng tư quảng cáo > Chủ đề quảng cáo
Dấu vân tay trình duyệt là một tập hợp các kỹ thuật mà các công ty quảng cáo của bên thứ ba sử dụng để theo dõi người dùng. Không giống như theo dõi xác định (như ID Google, ID Facebook), nhận dạng dấu vân tay thuộc về theo dõi không xác định, không yêu cầu bạn đăng nhập hoặc cung cấp bất kỳ thông tin nhận dạng nào.
Trình duyệt tiết lộ rất nhiều thông tin:
Kết hợp những thông tin này lại, thường có thể nhận dạng duy nhất một người dùng.
Các công ty quảng cáo có thể theo dõi hầu hết các trang web bạn truy cập. Ví dụ, bằng cách theo dõi xem bạn có truy cập các trang web tin tức như CNN, Fox News, MSNBC hay không, về cơ bản có thể phán đoán xu hướng chính trị của bạn.
Google đã cố gắng ngăn chặn việc theo dõi bằng cách hạn chế dữ liệu vân tay có sẵn và thúc đẩy việc sử dụng Chủ đề quảng cáo thay thế. Tuy nhiên, điều này đối mặt với nhiều khó khăn:
Theo tôi, việc theo dõi dấu vân tay trình duyệt sẽ không biến mất, cả Google và bên thứ ba sẽ tiếp tục theo dõi người dùng.
Đối mặt với vô số rủi ro về quyền riêng tư nêu trên, cách sử dụng trình duyệt truyền thống không còn đủ để bảo vệ quyền riêng tư của người dùng. Tôi đã sử dụng một chiến lược gọi là phân tách trình duyệt và nâng nó lên cấp độ chuyên nghiệp thông qua Trình duyệt chống phát hiện MasLogin.
Google và Facebook có khả năng theo dõi đa trang web độc đáo:
Ngay cả khi bạn không truy cập các trang web này, chúng vẫn có thể nhận dạng ID Google hoặc Facebook của bạn.
Cách tiếp cận cơ bản của cá nhân tôi là:
Chrome dành riêng cho Google
Các trình duyệt khác cho hoạt động hàng ngày
Sử dụng trình duyệt thứ ba cho các hoạt động nhạy cảm
Thông qua việc phân vùng dữ liệu này, những kẻ theo dõi của bên thứ ba gặp khó khăn trong việc xác định "tôi là ai" và "hành vi nào có thể thuộc về tôi".
Đối với các rủi ro về quyền riêng tư được đề cập trong bài viết này, dưới đây là các bước vận hành cụ thể khi sử dụng MasLogin:
Vấn đề: Chuyển đổi trình duyệt thủ công dễ gây nhầm lẫn và rủi ro liên kết dấu vân tay cao.
Giải pháp MasLogin:
Tạo môi trường độc lập
Cấu hình dấu vân tay độc lập
Liên kết proxy độc lập
Vận hành hàng ngày
Ngăn chặn theo dõi của Web Workers
Vấn đề: Các thành viên trong nhóm cần chia sẻ tài khoản, nhưng trình duyệt truyền thống không thể chia sẻ môi trường một cách an toàn.
Giải pháp MasLogin:
Tạo môi trường chia sẻ
Thành viên truy cập
Tránh liên kết tài khoản
Vấn đề: Không muốn Google hoặc bên thứ ba theo dõi một số hành vi tìm kiếm và duyệt web nhạy cảm.
Giải pháp MasLogin:
Tạo "Môi trường tạm thời"
Cấu hình cài đặt quyền riêng tư cao
Quy trình thao tác
Vấn đề: Lo ngại trang web độc hại đánh cắp thông tin thông qua tự động điền.
Giải pháp MasLogin:
Tắt toàn bộ tự động điền
Kiểm soát ở cấp độ môi trường
Vấn đề: HSTS Super Cookies không thể xóa trong trình duyệt truyền thống.
Giải pháp MasLogin:
Phân tách môi trường tự động giải quyết
Phương pháp xóa hoàn toàn
Ngoài việc giải quyết các rủi ro về quyền riêng tư nêu trên, MasLogin còn cung cấp các chức năng mà phương pháp truyền thống không thể đạt được:
Phân tách trình duyệt không phải là giải pháp vạn năng, nhưng nó có thể giảm thiểu đáng kể rủi ro theo dõi. Bằng cách phân tán các hoạt động khác nhau vào các môi trường độc lập, các bên thứ ba rất khó xây dựng một hồ sơ người dùng đầy đủ. Kết hợp với quản lý dấu vân tay và phân tách proxy của MasLogin, có thể đạt được khả năng bảo vệ quyền riêng tư gần như chuyên nghiệp.
Web Workers là các tiến trình JavaScript chạy nền, có thể tiếp tục hoạt động ngay cả khi bạn đóng trang web hoặc khởi động lại thiết bị. Chúng có thể liên tục gửi thông tin của bạn như địa chỉ IP, vị trí, v.v., đến máy chủ mà bạn hoàn toàn không biết. Xóa Cookies có thể chấm dứt Web Workers, nhưng nhiều người sẽ quên bước này.
HSTS Super Cookies là các Cookie đặc biệt được trình duyệt tạo ra để buộc kết nối HTTPS, và chúng được thiết kế để người dùng không thể xóa. Điều này cho phép trang web theo dõi danh tính của bạn vĩnh viễn. Sử dụng các công cụ như MasLogin có thể bỏ qua hạn chế này thông qua phân tách môi trường.
Tổng quan
