AmIUnique là dự án nghiên cứu vân tay trình duyệt. Kết quả độc nhất đo điều gì, tập dữ liệu làm lệch nó ra sao và nó không thể thấy gì.
AmIUnique khác với đa số công cụ kiểm tra vân tay. Phần lớn các trang bạn hay chạy là bảng điều khiển thương mại hoặc bản demo của tổ chức vận động; AmIUnique tự mô tả là một dự án nghiên cứu sự đa dạng của vân tay trình duyệt, nhằm cung cấp dữ liệu giúp nhà phát triển thiết kế các biện pháp phòng thủ tốt. Khẩu hiệu của nó là "Tìm hiểu bạn dễ bị nhận dạng đến mức nào trên Internet", và mã nguồn của website được công khai tại kho AmIUnique trên GitHub. Vì vậy đây là công cụ trung lập chứ không phải sản phẩm muốn bán gì cho bạn, nhưng kết quả chính của nó vẫn không phải bản án về quyền riêng tư của bạn.
Những điểm chính
- AmIUnique là dự án nghiên cứu học thuật của Inria, không phải nhà cung cấp thương mại: website tự mô tả là nghiên cứu sự đa dạng vân tay và mã nguồn được công khai.
- Nó đọc header HTTP cùng các thuộc tính do JavaScript thu thập, rồi so tổ hợp của bạn với các vân tay do chính nó lưu trữ.
- "Độc nhất" nghĩa là độc nhất trong tập dữ liệu của riêng AmIUnique. Đây không phải mẫu ngẫu nhiên của cả web: người truy cập thường là người quan tâm đến quyền riêng tư.
- Kết quả độc nhất nói về khả năng bị theo dõi. Nó không cho biết trình duyệt có bị giả mạo, có phải bot hay có dùng VPN hay không.
- Điểm riêng của nó là coi vân tay như thứ thay đổi theo thời gian, không chỉ là một ảnh chụp.
Nguồn gốc của AmIUnique
AmIUnique ra mắt năm 2014 bởi các nhà nghiên cứu tại Inria, viện nghiên cứu quốc gia của Pháp về khoa học số, và dữ liệu của nó phục vụ các bài báo khoa học có bình duyệt chứ không phải lộ trình sản phẩm. Nổi tiếng nhất là bài "Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints", trình bày tại IEEE Symposium on Security and Privacy năm 2016, phân tích các vân tay thu thập qua website, kể cả từ thiết bị di động. Nghiên cứu tiếp theo tại cùng hội nghị năm 2018, "FP-STALKER: Tracking Browser Fingerprint Evolutions", dùng các vân tay được thu thập lặp lại qua tiện ích trình duyệt của AmIUnique để nghiên cứu vân tay trôi dạt ra sao và liệu sau đó có còn liên kết được với nhau hay không. Chính vì nền tảng đó mà kết quả của nó đáng được đọc kỹ: đây là các phép đo nghiên cứu, với cả điểm mạnh lẫn giới hạn vốn có của nghiên cứu.
AmIUnique thực sự đo gì
Khi bạn chạy bài kiểm tra, trình duyệt gửi các header HTTP thông thường (user-agent, kiểu nội dung chấp nhận, ưu tiên ngôn ngữ và mã hóa), còn script trên trang đọc một tập thuộc tính mà JavaScript đọc được: kích thước màn hình, múi giờ, plugin, kết quả render của canvas và WebGL. Máy chủ lưu tổ hợp đó thành một vân tay rồi đếm xem trong bộ sưu tập đã có bao nhiêu vân tay khớp với bạn, theo từng thuộc tính và theo tổng thể.
Muốn có danh sách thuộc tính chính xác và mới nhất, hãy đọc phần giải thích của chính website và mã nguồn đã công bố, đừng dựa vào bài tóm tắt trên blog, kể cả bài này: các bộ thu thập được thêm và bỏ theo sự thay đổi của trình duyệt, và một danh sách lỗi thời còn tệ hơn không có. Còn các nhóm tín hiệu thì cũng chính là những nhóm mà mọi công cụ vân tay trình duyệt khác đều dựa vào. Nếu muốn xem từng nhóm, kiểm tra vân tay của BrowserInsight hiển thị cùng loại tín hiệu kèm giải thích ngắn bên cạnh.
Đọc đúng câu "bạn là độc nhất"
Kết quả là một tỉ lệ so với cơ sở dữ liệu, nên mẫu số quyết định tất cả.
Tập dữ liệu bị lệch do tự chọn. Người tìm đến một website nghiên cứu vân tay trung bình quan tâm quyền riêng tư hơn, rành kỹ thuật hơn và hay dùng cấu hình khác thường hơn (thêm tiện ích, trình duyệt gia cố, hệ điều hành ít gặp). Một trình duyệt hiếm trong nhóm này có thể hoàn toàn bình thường trên toàn web, và điều ngược lại cũng xảy ra. Lưu ý phụ thuộc vào tập dữ liệu này cũng áp dụng cho công cụ của EFF, mà chúng tôi đã phân tích trong Cover Your Tracks: điểm độc nhất không chứng minh điều gì.
Hiếm không có nghĩa là đáng ngờ. Một trình duyệt nguyên bản có kích thước màn hình hiếm hoặc font ít gặp vẫn có thể độc nhất mà hoàn toàn thật. Độc nhất đo việc bạn dễ bị nhận ra lần nữa đến đâu, không phải kiểm tra tính nhất quán. Việc bắt mâu thuẫn giữa các tín hiệu (ví dụ user-agent nhận là trình duyệt này nhưng kết quả render lại của trình duyệt khác) là một việc khác, xem CreepJS: Cách phát hiện nói dối trong vân tay bắt giả mạo.
Con số không so sánh được giữa các site. Mỗi công cụ có tập dữ liệu, bộ thuộc tính và cách đếm riêng. Vì Sao Các Công Cụ Kiểm Tra Vân Tay Bất Đồng Về Bạn giải thích vì sao hai công cụ trung thực vẫn cho đáp án khác nhau trong cùng một buổi chiều. Còn phần toán học về việc tổ hợp các thuộc tính bình thường trở nên hiếm thế nào, xem Entropy dấu vân tay trình duyệt và tập ẩn danh là gì; ở đây không lặp lại.
Chiều thời gian
Đa số bài kiểm tra chỉ cho một ảnh chụp: một lần truy cập, một con số. Góc nhìn nghiên cứu của AmIUnique khác, vì vân tay hiếm hôm nay chỉ hữu ích cho việc theo dõi nếu ngày mai nó vẫn ổn định. Cập nhật trình duyệt, font mới, màn hình khác hay thay đổi cài đặt đều làm thuộc tính dịch chuyển, và sự trôi dạt đó chính là điều nghiên cứu FP-STALKER đặt ra để đo. Đây là phần Cover Your Tracks ít nhấn mạnh. Hiện website có những màn hình lịch sử hay dòng thời gian nào thì hãy kiểm tra trực tiếp vì tính năng có thể thay đổi, nhưng bài học thì không đổi: độc nhất và ổn định là hai câu hỏi riêng biệt. Một vân tay độc nhất nhưng đổi mỗi tuần thì rất khó dùng để theo dõi, còn một vân tay chỉ hiếm vừa phải nhưng không bao giờ đổi lại có thể theo dõi rất hiệu quả.
Những gì nó không thấy
Như mọi bài kiểm tra phía trình duyệt, AmIUnique chỉ quan sát được những gì trình duyệt báo cho trang. Nó không biết lưu lượng của bạn đi qua đường mạng nào và không kiểm tra múi giờ có khớp với địa chỉ IP hay không. Phía này cần so sánh ở máy chủ, chẳng hạn kiểm tra VPN và proxy của BrowserInsight. Thêm bối cảnh về việc các trang kiểm tra này hiển thị và bỏ sót gì, xem BrowserLeaks giải thích: mỗi bài test kiểm tra rò rỉ nào.
Cách dùng hợp lý
Chạy một lần bằng trình duyệt hằng ngày, ghi lại các thuộc tính website đánh dấu là hiếm và coi đó là danh sách câu hỏi: đây có phải thiết lập do mình chọn không, và nó có quan trọng với mình không? Chạy lại sau khi cập nhật trình duyệt để xem cái gì thay đổi. Rồi đối chiếu với kiểm tra vân tay để có chi tiết từng tín hiệu. Hãy dùng kết quả để hiểu điều gì quan sát được, đừng chạy theo huy hiệu "không độc nhất".
Câu hỏi thường gặp
AmIUnique có phải sản phẩm thương mại không?
Không. Nó tự định vị là dự án nghiên cứu học thuật về sự đa dạng vân tay trình duyệt, và mã nguồn website được công khai trên GitHub.
"Độc nhất" có nghĩa trình duyệt của tôi là giả hoặc bị can thiệp không?
Không. Nó chỉ nghĩa là không có vân tay nào đã lưu khớp với bạn. Một trình duyệt hoàn toàn thật, chưa chỉnh sửa nhưng có tổ hợp cài đặt hiếm vẫn có thể độc nhất.
Có thể so kết quả AmIUnique với công cụ khác không?
Không trực tiếp. Mỗi công cụ có tập dữ liệu, bộ thuộc tính và cách đếm riêng, nên các con số mô tả những nhóm người khác nhau.
AmIUnique có kiểm tra VPN hoặc địa chỉ IP của tôi không?
Nó đọc các thuộc tính do trình duyệt tự báo nên không thấy đường đi mạng. Để so sánh đó hãy dùng kiểm tra VPN và proxy phía máy chủ.
