Lấy dấu vân tay thiết bị là gì?

Lấy dấu vân tay thiết bị, một cách chính xác, là gì?

Lấy dấu vân tay thiết bị là quá trình đọc một tập thuộc tính mà một thiết bị phơi bày và băm chúng thành một mã định danh có khả năng độc nhất với thiết bị đó. Đó là một dạng nhận diện không trạng thái: không có gì được ghi vào thiết bị, nên không có gì để người dùng xóa.

Thuật ngữ này bao gồm cả lấy dấu vân tay trình duyệt — nhận diện một thể hiện trình duyệt cụ thể trên một cỗ máy cụ thể — lẫn lấy dấu vân tay thiết bị rộng hơn, trải khắp các ứng dụng gốc và kết hợp tín hiệu máy khách và mạng. Trong cách dùng thông thường, hai cái chồng lấn nhiều, và ý tưởng cốt lõi là như nhau: suy ra danh tính từ những gì thiết bị vốn dĩ là.

Sức mạnh của cách tiếp cận đến từ entropy. Bất kỳ một thuộc tính đơn lẻ nào — chẳng hạn ngôn ngữ trình duyệt — được chia sẻ bởi hàng triệu người. Nhưng sự kết hợp chung của hai hoặc ba chục thuộc tính thu hẹp dân số về một thiết bị duy nhất với xác suất cao, theo cùng cách mà một nhúm sự kiện độc lập về một người có thể nhận diện họ một cách độc nhất.

Lấy dấu vân tay thiết bị hoạt động như thế nào?

Lấy dấu vân tay hoạt động bằng cách thu thập các thuộc tính thiết bị trong trình duyệt, truyền chúng đến một máy chủ, và băm tổ hợp thành một mã định danh ổn định có thể đối chiếu với các thiết bị đã thấy trước đây. Sự tinh tế nằm ở việc dung thứ sự thay đổi mà không mất danh tính.

Việc thu thập diễn ra qua các API web thông thường. Một tập lệnh yêu cầu trình duyệt kết xuất đồ họa, liệt kê phông chữ, báo cáo kích thước màn hình, và mô tả ngăn xếp âm thanh và phần cứng của nó. Mỗi câu trả lời phản ánh tổ hợp cụ thể của hệ điều hành, bản dựng trình duyệt, GPU, trình điều khiển và cấu hình trên cỗ máy đó, và đó là điều làm cho kết quả chung trở nên đặc trưng.

Đối chiếu là nơi các triển khai ngây thơ thất bại. Các thuộc tính của một thiết bị trôi dạt theo thời gian — một bản cập nhật trình duyệt thay đổi một chuỗi phiên bản, một màn hình mới thay đổi độ phân giải. Băm chính xác sẽ xem thiết bị đã trôi dạt như hoàn toàn mới. Do đó lấy dấu vân tay mạnh mẽ tách các tín hiệu thành các bậc ổn định và dùng so sánh mờ, để một thay đổi nhỏ ở một tín hiệu không phá vỡ danh tính được xây từ phần còn lại.

Những tín hiệu nào tạo nên một dấu vân tay thiết bị?

Một dấu vân tay thiết bị được lắp ráp từ các tín hiệu kết xuất, tín hiệu phần cứng và màn hình, tín hiệu cấu hình, và — trên máy chủ — tín hiệu mạng. Có giá trị nhất là những tín hiệu có entropy cao và độ ổn định cao.

Các tín hiệu kết xuất là những con ngựa thồ. Khi một trình duyệt vẽ văn bản hoặc đồ họa 3D, những khác biệt nhỏ ở GPU, trình điều khiển và bộ dựng phông chữ tạo ra đầu ra điểm ảnh đặc thù cho thiết bị, vô hình với người dùng nhưng đọc được bằng tập lệnh. Những tín hiệu này vừa hết sức đặc trưng vừa ổn định đáng kể qua các phiên.

Các tín hiệu cấu hình và phần cứng lấp đầy hồ sơ, và các tín hiệu mạng phía máy chủ — mà máy khách không thể trình bày sai — neo giữ nó chống lại sự giả mạo.

• Lấy dấu vân tay canvas: đầu ra ở cấp điểm ảnh của việc kết xuất văn bản và hình khối lên một canvas HTML5, được định hình bởi GPU và việc dựng phông chữ.
• Lấy dấu vân tay WebGL: chuỗi bộ kết xuất và nhà cung cấp GPU, các phần mở rộng được hỗ trợ, và độ chính xác shader.
• Lấy dấu vân tay âm thanh: những khác biệt tinh vi trong cách ngăn xếp âm thanh của thiết bị xử lý một dạng sóng được tạo ra.
• Phông chữ, độ phân giải màn hình, độ sâu màu, múi giờ, ngôn ngữ, và số luồng phần cứng.
• Dấu vân tay TLS/JA4 phía máy chủ và các đặc điểm tiêu đề HTTP tiết lộ máy khách thật.

Một dấu vân tay thiết bị ổn định và độc nhất đến mức nào?

Một dấu vân tay được dựng tốt đủ ổn định để nhận ra cùng một thiết bị trong nhiều tháng và đủ độc nhất để phân biệt nó với gần như mọi thiết bị khác trong một dân số — miễn là việc triển khai dung thứ sự trôi dạt thường lệ mà các trình duyệt gây ra.

Độ ổn định là một quang phổ trải khắp các tín hiệu. Các tín hiệu bắt nguồn từ phần cứng như kết xuất GPU chỉ thay đổi khi cỗ máy vật lý thay đổi. Các tín hiệu phần mềm như phông chữ thỉnh thoảng thay đổi. Các tín hiệu phiên như user agent thay đổi theo mỗi bản cập nhật trình duyệt. Xem mọi tín hiệu như vĩnh cửu ngang nhau là sai lầm kinh điển; cân trọng số chúng theo độ ổn định kỳ vọng là điều giữ cho danh tính nguyên vẹn qua một bản cập nhật.

Tính độc nhất đến từ việc kết hợp các tín hiệu, và nó suy giảm một cách nhẹ nhàng chứ không thảm khốc. Ngay cả khi hai thiết bị tình cờ khớp ở vài thuộc tính, các tín hiệu bổ sung tách chúng ra. Mục tiêu kỹ thuật là giữ tỷ lệ khớp sai (hai thiết bị bị xem là một) và tỷ lệ tách sai (một thiết bị bị xem là hai) cùng thấp một lúc — một căng thẳng nội tại mà so khớp mờ được thiết kế để quản lý.

Lấy dấu vân tay khác cookie như thế nào?

Cookie là các mã định danh bạn lưu trên thiết bị; dấu vân tay là các mã định danh bạn tính từ thiết bị. Chỉ riêng khác biệt đó giải thích vì sao dấu vân tay sống sót qua các hành động — xóa lưu trữ, chuyển sang ẩn danh, chuyển sang duyệt riêng tư — vốn hủy diệt cookie.

Một cookie là một token mà trang web ghi và trình duyệt trả lại ở lần ghé tiếp theo. Nó chỉ hoạt động chừng nào người dùng còn giữ nó, và các trình duyệt cùng công cụ bảo mật hiện đại khiến việc loại bỏ cookie trở nên dễ dàng và thường là tự động. Với một kẻ gian lận, xóa cookie là sự né tránh đầu tiên và dễ nhất.

Một dấu vân tay không có gì để xóa. Người dùng sẽ phải thay đổi phần cứng và phần mềm nền tảng để thay đổi nó, đó chính là lý do lấy dấu vân tay vẫn hiệu quả trước các đối thủ đặt lại từng mảnh trạng thái đã lưu giữa các lần thử. Đánh đổi là lấy dấu vân tay mang tính xác suất và đòi hỏi nhiều kỹ thuật hơn để giữ ổn định, trong khi một cookie là một token chính xác đơn giản.

Lấy dấu vân tay thiết bị được dùng để làm gì?

Lấy dấu vân tay thiết bị được dùng bất cứ khi nào việc nhận ra bền vững, không trạng thái quan trọng: ngăn chặn gian lận và lạm dụng, phát hiện bot, và phân tích cùng cá nhân hóa tôn trọng quyền riêng tư. Mỗi ứng dụng dựa vào cùng thuộc tính bền vững từ một góc độ khác nhau.

Trong gian lận và lạm dụng, lấy dấu vân tay phơi bày các thiết bị dùng chung đứng sau việc lập nhiều tài khoản, lạm dụng khuyến mãi và các đường dây gian lận thanh toán, và nó cấp năng lượng cho việc giới hạn tần suất ở cấp thiết bị mà các cuộc tấn công đăng nhập tự động không thể thoát bằng cách xoay vòng IP. Vì mã định danh bền vững, một thiết bị không thể giả dạng thành một trăm người dùng mới.

Trong phân tích và cá nhân hóa, lấy dấu vân tay nhận ra khách truy cập quay lại để phân bổ, giới hạn tần suất hiển thị, và khôi phục giỏ hàng mà không đòi hỏi đăng nhập — hữu ích chính trong bối cảnh hậu-cookie nơi việc theo dõi truyền thống đang biến mất. Trong mọi trường hợp giá trị là như nhau: một chốt giữ ổn định lên một thiết bị mà thiết bị không thể dễ dàng vứt bỏ.

Người ta cố né tránh lấy dấu vân tay như thế nào?

Sự né tránh rơi vào hai phe: ngẫu nhiên hóa tín hiệu để dấu vân tay thay đổi mỗi phiên, và giả mạo tín hiệu để một thiết bị mạo danh nhiều thiết bị. Cả hai đều để lại dấu vết phát hiện được, đó là lý do các hệ thống bền bỉ canh chừng sự bất nhất thay vì tin cậy bất kỳ tín hiệu đơn lẻ nào.

Các trình duyệt anti-detect và tiện ích mở rộng riêng tư cố đầu độc các tín hiệu entropy cao — thêm nhiễu vào đầu ra canvas, làm giả chuỗi WebGL, hoặc xoay vòng user agent. Dấu hiệu nhận biết là sự bất nhất nội tại: một hồ sơ giả mạo thường tuyên bố một tổ hợp thuộc tính mà không thiết bị thật nào tạo ra, và sự vênh nhau giữa tuyên bố của máy khách và thực tế quan sát bởi máy chủ tố cáo nó.

Cách tiếp cận kia xếp lớp hạ tầng — proxy dân cư, máy ảo, khung tự động hóa — để làm cho nhiều phiên trông độc lập. Ở đây các tín hiệu phía máy chủ làm công việc mà các tín hiệu phía máy khách không thể, vì đường mạng và đặc điểm TLS khó ngụy trang một cách thuyết phục hơn nhiều so với một thuộc tính trình duyệt. Phòng thủ thực tiễn chống lại cả hai là tương quan qua nhiều tín hiệu, để việc đánh bại một cái không đánh bại toàn thể.

Lấy dấu vân tay thiết bị có hợp pháp và tuân thủ quyền riêng tư không?

Lấy dấu vân tay thiết bị là hợp pháp ở hầu hết các khu vực tài phán khi được dùng cho các mục đích hợp pháp như ngăn chặn gian lận, nhưng các quy định về quyền riêng tư như GDPR xem nó là việc xử lý dữ liệu cá nhân đòi hỏi một cơ sở pháp lý, sự minh bạch và các biện pháp bảo vệ phù hợp. Việc tuân thủ là về cách bạn triển khai nó, không phải về việc kỹ thuật có được phép hay không.

Các nhà quản lý nói chung phân biệt việc theo dõi liên trang web xâm phạm phục vụ quảng cáo, vốn đối mặt các yêu cầu đồng thuận nghiêm ngặt, với các mục đích bảo mật và ngăn chặn gian lận, vốn thường có thể dựa vào cơ sở lợi ích chính đáng. Các yếu tố quyết định là mục đích, tính tương xứng, sự minh bạch với người dùng, và các thực hành tối thiểu hóa dữ liệu như băm tín hiệu và giới hạn thời gian lưu.

Trên thực tế, một triển khai tuân thủ giới hạn lấy dấu vân tay vào mục đích bảo mật mà nó phục vụ, ghi lại mục đích đó, tránh tái sử dụng dữ liệu cho việc theo dõi không liên quan, và tôn trọng các nghĩa vụ minh bạch của luật áp dụng. Kỹ thuật và sự tuân thủ không xung đột; chính việc dùng cẩu thả mới tạo ra rủi ro.