Địa chỉ IPv6 ban đầu nhúng thẳng địa chỉ MAC card mạng, khiến thiết bị bị nhận diện xuyên suốt các mạng khác nhau. Tìm hiểu cách privacy extensions khắc phục.
Cách cấp địa chỉ IPv6 ban đầu có một lỗ hổng riêng tư nằm ngay trong chuẩn giao thức: địa chỉ của một thiết bị nhúng thẳng địa chỉ MAC của card mạng — một giá trị không bao giờ thay đổi. Điều đó có nghĩa là 64 bit cuối trong địa chỉ IPv6 của bạn giữ nguyên y hệt ở mọi nơi bạn kết nối — ở nhà, ở quán cà phê, ở sân bay — biến mọi website và mọi nhà mạng bạn từng chạm tới thành nơi có thể nhận ra thiết bị của bạn một lần nữa, không cần đến bất kỳ cookie nào. Privacy extensions ra đời chính là để bịt lỗ hổng đó, bằng cách thay thế định danh cố định bằng một định danh xoay vòng theo thời gian.
Điểm chính
- Cơ chế tự cấu hình địa chỉ không trạng thái (SLAAC) ban đầu tạo ra 64 bit cuối của địa chỉ IPv6 từ địa chỉ MAC của card mạng, theo định dạng "EUI-64 cải tiến" được định nghĩa trong RFC 4291 — một giá trị duy nhất toàn cầu và không bao giờ thay đổi.
- Một định danh giao diện cố định cho phép thiết bị bị nhận diện lại ở mọi mạng nó tham gia, kể cả khi không có cookie, vì cùng một hậu tố 64-bit đi theo phần cứng đến mọi nơi.
- Privacy extensions, được quy định trong RFC 8981, tạo ra các địa chỉ tạm thời ngẫu nhiên, xoay vòng theo lịch, và được dùng cho các kết nối đi thay vì địa chỉ suy ra từ MAC.
- Các hệ thống hiện đại còn vá nốt nửa còn lại của vấn đề: RFC 8064 yêu cầu các thiết bị không nhúng địa chỉ tầng liên kết cố định vào định danh, nên ngày nay ngay cả địa chỉ không xoay vòng cũng được sinh bằng phương pháp của RFC 7217 — cố định trong phạm vi một mạng, nhưng hoàn toàn khác ở mọi mạng khác.
- Privacy extensions được bật mặc định trên hầu hết hệ điều hành phổ thông hiện đại, nhưng việc xoay vòng chỉ ẩn định danh giao diện — tiền tố mạng IPv6 của bạn vẫn tiết lộ nhà mạng và vị trí gần đúng, giống hệt như địa chỉ IPv4 vẫn làm.
- Bạn có thể xem chính xác kết nối hiện tại của mình đang tiết lộ điều gì bằng công cụ phân tích IP và kiểm tra dấu vân tay trình duyệt của BrowserInsight.
Địa chỉ IPv6 ban đầu được thiết kế để dễ bị theo dõi như thế nào
Một địa chỉ IPv6 dài 128 bit, thường chia thành tiền tố mạng 64 bit (do ISP hoặc router của bạn cấp, xác định mạng bạn đang ở) và định danh giao diện 64 bit (xác định thiết bị cụ thể của bạn trong mạng đó). Trong cơ chế SLAAC ban đầu, thiết bị tự động tạo định danh giao diện từ địa chỉ MAC của card mạng bằng phương pháp "EUI-64 cải tiến" được định nghĩa trong RFC 4291: chia đôi địa chỉ MAC 48 bit, chèn giá trị cố định FFFE vào giữa, rồi đảo một bit. Kết quả là một giá trị 64 bit được suy ra hoàn toàn từ phần cứng đi kèm thiết bị và không bao giờ được cấp lại.
Thiết kế đó rất thực dụng cho việc tự cấu hình không trạng thái — không cần máy chủ DHCP để phát địa chỉ — nhưng nó kéo theo một tác dụng phụ khó tránh. Vì địa chỉ MAC là duy nhất toàn cầu và vĩnh viễn, định danh giao diện suy ra từ nó cũng vậy. Mang laptop từ nhà đến thư viện rồi đến khách sạn, tiền tố mạng trong địa chỉ IPv6 sẽ đổi theo từng mạng mới, nhưng 64 bit cuối vẫn giữ nguyên y hệt mỗi lần. Bất kỳ website, mạng quảng cáo, hay nhà mạng nào ghi lại địa chỉ IPv6 của bạn đều có thể khớp hậu tố cố định này qua các phiên và địa điểm hoàn toàn không liên quan, dựng nên một định danh bền vững hoạt động như một cookie theo dõi vĩnh viễn mà bạn chưa từng đồng ý.
Địa chỉ tạm thời: privacy extensions xoay vòng định danh của bạn như thế nào
Privacy extensions, ban đầu được quy định trong RFC 4941 và được cập nhật bởi chuẩn hiện hành, RFC 8981, khắc phục điều này bằng cách tạo thêm một loại địa chỉ thứ hai song song với địa chỉ cố định. Thay vì suy ra định danh giao diện từ địa chỉ MAC, hệ điều hành tạo nó bằng một thuật toán giả ngẫu nhiên khởi tạo từ một giá trị lưu cục bộ, rồi định kỳ loại bỏ và tạo giá trị mới.
Mỗi địa chỉ tạm thời mang theo hai vòng đời:
- Thời gian ưu tiên — RFC 8981 đặt mặc định là 1 ngày — sau đó địa chỉ bị đánh dấu lỗi thời: các kết nối đang mở vẫn có thể dùng tiếp, nhưng kết nối đi mới sẽ chuyển sang một địa chỉ mới hơn.
- Thời gian hợp lệ — RFC 8981 đặt mặc định là 2 ngày — sau đó địa chỉ bị loại bỏ hoàn toàn và không thể dùng lại.
Đó là giá trị mặc định của chính bản chuẩn, và chúng đều có thể cấu hình lại. RFC 4941 cũ hơn đặt thời gian hợp lệ mặc định tới trọn một tuần, và một số bản triển khai đến nay vẫn giữ giá trị dài này — đó là lý do một địa chỉ tạm thời bạn thấy từ mấy hôm trước có thể vẫn còn nằm trên giao diện mạng. Thứ quyết định mức độ khó theo dõi là thời gian ưu tiên, vì nó chi phối tần suất thay đổi của chính địa chỉ mà website nhìn thấy.
Hệ điều hành sẽ tạo trước một địa chỉ tạm thời mới trước khi địa chỉ hiện tại hết hạn, nên luôn có một địa chỉ mới sẵn sàng tiếp quản các kết nối đi mà không bị gián đoạn. Địa chỉ cố định đi kèm không biến mất — nó thường vẫn hoạt động cho các kết nối đến và dịch vụ mạng nội bộ — nhưng khi bật privacy extensions, địa chỉ tạm thời đang xoay vòng mới là địa chỉ nguồn được dùng cho các kết nối bạn chủ động khởi tạo ra bên ngoài, và đó chính xác là nơi từng tồn tại rủi ro bị theo dõi.
Nửa còn lại của giải pháp: địa chỉ cố định cũng thôi lấy từ MAC
Việc xoay vòng địa chỉ tạm thời đã xử lý được lưu lượng đi ra, nhưng một thiết bị đồng thời còn cấu hình địa chỉ cố định suy từ MAC thì vẫn chìa ra một định danh vĩnh viễn ở mọi mạng nó tham gia. Hai chuẩn ra sau đã bịt nốt khoảng trống này.
RFC 7217 định nghĩa cách sinh định danh giao diện cố định từ một khoá bí mật lưu trên thiết bị trộn với tiền tố của mạng. Địa chỉ thu được là cố định trong phạm vi một mạng cụ thể — các dịch vụ cần địa chỉ đoán trước được vẫn chạy bình thường — nhưng hoàn toàn khác ở mọi mạng khác, cắt đứt đúng mối tương quan xuyên mạng đã biến cơ chế EUI-64 thành kênh theo dõi ngay từ đầu. RFC 8064 sau đó nâng cách làm này thành khuyến nghị chung: các thiết bị "SHOULD NOT" (không nên) dùng cơ chế sinh địa chỉ IPv6 có nhúng địa chỉ tầng liên kết cố định vào định danh giao diện, và phương pháp mặc định cho địa chỉ cố định phải là RFC 7217. Để làm điều đó, nó cập nhật RFC 4291 cùng hơn một chục tài liệu khác.
Hệ quả thực tế: trên một hệ điều hành hiện hành, bạn thường thấy hai địa chỉ trên cùng một giao diện mạng và không địa chỉ nào suy ra từ MAC — một địa chỉ cố định theo từng mạng, một địa chỉ tạm thời xoay vòng. Privacy extensions và RFC 7217 bổ trợ cho nhau: cái trước khiến bạn không bị nối lại giữa các phiên, cái sau khiến bạn không bị nối lại giữa các mạng.
Kiểm tra xem privacy extensions có đang bật trên thiết bị của bạn không
Privacy extensions được bật mặc định trên hầu hết hệ điều hành người dùng phổ thông hiện nay — Windows, macOS, iOS và Android đều tự tạo và ưu tiên dùng địa chỉ tạm thời ngay từ đầu. Linux mới là nơi thực sự khác nhau tuỳ trường hợp: bản thân nhân Linux đặt use_tempaddr mặc định là tắt, nên việc bạn có địa chỉ tạm thời hay không phụ thuộc vào trình quản lý mạng hoặc giá trị sysctl mặc định của bản phân phối bạn dùng. Hệ điều hành máy chủ và các cấu hình Linux tối giản thì càng hay tắt hẳn tính năng này, vì máy chủ thường cần một địa chỉ ổn định, có thể đoán trước, thay vì một địa chỉ liên tục xoay vòng.
Cách kiểm tra trực tiếp nhất là nhìn vào chính địa chỉ của bạn:
- Trên dòng lệnh,
ipconfig /all(Windows) hoặcip -6 addr show(Linux) sẽ liệt kê cả địa chỉ "temporary" lẫn địa chỉ "permanent"/ổn định nếu privacy extensions đang hoạt động; macOS cũng hiển thị đầu ra tương tự quaifconfig. - Từ trình duyệt, công cụ phân tích IP của BrowserInsight hiển thị địa chỉ IPv6 mà một website thực sự thấy được với kết nối hiện tại của bạn, giúp bạn xác nhận địa chỉ nào đang được dùng cho lưu lượng đi ra mà không cần lục lọi trong cài đặt mạng của hệ điều hành.
Nếu bạn chỉ thấy một địa chỉ IPv6 duy nhất và nó trông như được suy ra từ phần cứng (phần giữa của định danh giao diện đọc là ff:fe), privacy extensions đang tắt, và thiết bị đó đang trình ra cùng một hậu tố có thể bị theo dõi cho mọi mạng mà nó tham gia.
Tuy nhiên chiều ngược lại thì không kết luận được: một địa chỉ không có ff:fe chưa chứng minh bạn đang dùng địa chỉ tạm thời. Nhờ RFC 7217, địa chỉ cố định thời nay trông cũng ngẫu nhiên y như vậy. Thứ phân biệt hai loại là nó có đổi hay không — địa chỉ cố định giữ nguyên suốt thời gian bạn còn ở trong mạng đó, còn địa chỉ tạm thời bị thay theo lịch riêng của nó.
Privacy extensions so với VPN: mỗi bên thực sự ẩn điều gì
Rất dễ nghĩ rằng một địa chỉ IPv6 xoay vòng làm giống hệt việc mà VPN làm. Không phải vậy, và sự khác biệt này quan trọng. Privacy extensions chỉ ngẫu nhiên hoá định danh giao diện — nửa gắn với thiết bị của địa chỉ. Tiền tố mạng — nửa do ISP của bạn cấp — vẫn giữ nguyên bất kể định danh giao diện xoay vòng bao nhiêu lần, và chỉ riêng tiền tố đó đã đủ để định vị qua IP xác định gần đúng ISP và khu vực của bạn, giống hệt như một địa chỉ IPv4 thông thường vẫn làm. Việc xoay vòng địa chỉ tạm thời ngăn thiết bị bị nhận diện lại qua hậu tố cố định giữa các phiên, nhưng không hề giúp ẩn ISP hay vị trí gần đúng mà bạn đang kết nối tới.
VPN hoạt động khác: nó thay thế toàn bộ địa chỉ IP của bạn, bao gồm cả tiền tố, bằng địa chỉ của máy chủ VPN, nên cả tín hiệu vị trí lẫn bất kỳ hậu tố gắn với thiết bị nào cũng biến mất phía sau địa chỉ riêng của đường hầm. Đó cũng là lý do vì sao bài viết về cách website phát hiện VPN và proxy hoàn toàn không nhắc đến định danh giao diện — việc phát hiện VPN nhắm vào toàn bộ địa chỉ IP, chứ không phải khía cạnh theo dõi thiết bị mà privacy extensions được sinh ra để khắc phục. Nếu bạn đang chạy một đường hầm và muốn biết nó thực sự phơi ra những gì, công cụ kiểm tra VPN/proxy của BrowserInsight đối chiếu địa chỉ IP mà website nhìn thấy với những đường rò rỉ phổ biến vẫn hay để lộ địa chỉ thật.
So sánh: privacy extensions IPv6 và VPN
| Privacy extensions IPv6 | VPN | |
|---|---|---|
| Ẩn được gì | Định danh giao diện gắn với thiết bị (xoay vòng) | Toàn bộ địa chỉ IP, bao gồm cả tiền tố mạng |
| Không ẩn được gì | ISP và vị trí gần đúng (tiền tố mạng giữ nguyên) | Không ẩn gì theo mặc định — chỉ thay bằng một địa chỉ khác cũng dễ bị theo dõi không kém |
| Bật mặc định | Có, trên hầu hết hệ điều hành phổ thông | Không — cần cài đặt và kết nối client |
| Bảo vệ khỏi điều gì | Bị nhận diện lại xuyên phiên qua hậu tố địa chỉ cố định | Định vị qua IP, lộ ISP, chặn theo IP |
| Cách xoay vòng | Tự động, theo lịch (vài giờ đến vài ngày) | Thủ công — chỉ đổi khi kết nối lại hoặc đổi máy chủ |
Hai cơ chế này bổ sung cho nhau chứ không thay thế nhau: privacy extensions khắc phục một kênh theo dõi cụ thể, ở tầng thấp, mà hầu hết mọi người còn chẳng biết là tồn tại, còn VPN giải quyết câu hỏi rộng hơn — địa chỉ IP của bạn thực sự tiết lộ những gì về việc bạn là ai và đang ở đâu.
Cách kiểm tra và giảm mức độ phơi bày
- Xác nhận privacy extensions đang bật. Kiểm tra cài đặt mạng của hệ điều hành hoặc kết quả dòng lệnh để tìm một địa chỉ IPv6 "temporary" khác với địa chỉ suy ra từ MAC; bật tuỳ chọn này nếu nó đang tắt (hầu hết hệ điều hành hiển thị nó dưới dạng "Use temporary addresses" hoặc tương tự trong cài đặt mạng/riêng tư).
- Xem kết nối hiện tại của bạn đang tiết lộ gì. Công cụ phân tích IP của BrowserInsight hiển thị địa chỉ IPv6 (hoặc IPv4) và thông tin mạng trực tiếp mà một website sẽ thấy cho phiên của bạn ngay lúc này.
- Nhớ rằng tiền tố vẫn có thể nhìn thấy. Nếu mối lo thực sự của bạn là lộ vị trí ở cấp ISP thay vì bị nhận diện thiết bị xuyên phiên, riêng privacy extensions sẽ không giải quyết được điều đó — xem độ chính xác của định vị IP để biết tiền tố mạng của bạn tiết lộ điều gì bất kể việc xoay vòng.
- Thêm VPN nếu bạn cần ẩn cả tiền tố mạng. VPN và privacy extensions IPv6 giải quyết hai vấn đề khác nhau và có thể chạy song song mà không xung đột.
Câu hỏi thường gặp
Privacy extensions IPv6 có thay thế được VPN không?
Không. Privacy extensions chỉ xoay vòng phần gắn với thiết bị trong địa chỉ IPv6 của bạn; tiền tố mạng do ISP cấp — phần tiết lộ vị trí gần đúng và nhà mạng của bạn — vẫn giữ nguyên. VPN thay thế toàn bộ địa chỉ, bao gồm cả tiền tố.
Privacy extensions IPv6 có bật mặc định không?
Trên hầu hết thiết bị và hệ điều hành phổ thông thì có — Windows, macOS, iOS và Android đều bật sẵn. Linux thì kém đồng nhất hơn: nhân Linux mặc định tắt, nên tất cả phụ thuộc vào cách bản phân phối của bạn cấu hình. Máy chủ và các cấu hình Linux tối giản thường tắt tính năng này vì một địa chỉ ổn định tiện hơn cho các trường hợp đó.
Địa chỉ tạm thời thay đổi bao lâu một lần?
Mặc định của RFC 8981 là thời gian ưu tiên 1 ngày và thời gian hợp lệ 2 ngày, tức là thường mỗi ngày sinh ra một địa chỉ tạm thời mới và địa chỉ cũ bị loại bỏ hẳn sau đó khoảng một ngày nữa. Cả hai giá trị đều cấu hình được, và một số bản triển khai đến nay vẫn dùng thời gian hợp lệ dài một tuần từ RFC 4941 cũ, khiến địa chỉ đã ngưng dùng còn nằm lại lâu hơn thế.
Địa chỉ IPv6 của tôi không có ff:fe — vậy privacy extensions đã bật chưa?
Chưa chắc. Kể từ RFC 8064, địa chỉ cố định mà thiết bị cấu hình cũng không còn lấy từ địa chỉ MAC nữa mà sinh bằng phương pháp RFC 7217, nên nó trông cũng ngẫu nhiên. Việc không có ff:fe chỉ cho bạn biết địa chỉ đó không suy ra theo EUI-64, chứ không cho biết nó có xoay vòng hay không. Hãy kiểm tra xem có một địa chỉ tạm thời thứ hai bên cạnh không, hoặc địa chỉ bạn phơi ra bên ngoài có thay đổi theo thời gian không.
Tắt IPv6 có tránh được hoàn toàn vấn đề này không?
Tắt IPv6 loại bỏ được đúng kênh theo dõi qua định danh giao diện, nhưng bạn vẫn có thể bị nhận diện qua địa chỉ IPv4 và các tín hiệu dấu vân tay khác mà kết nối của bạn để lộ. Đây không phải một giải pháp riêng tư toàn diện, chỉ là cách tránh riêng cơ chế này.
Kết luận
Định danh giao diện suy ra từ MAC trong cách đánh địa chỉ IPv6 ban đầu là một kênh theo dõi âm thầm ở tầng giao thức, chẳng liên quan gì đến cookie hay các script dấu vân tay — nó theo thiết bị đến mọi mạng mà thiết bị tham gia, chỉ đơn giản vì định dạng địa chỉ quy định như vậy. Privacy extensions bịt đúng lỗ hổng đó bằng cách tự động xoay vòng định danh, và ngày nay chúng được bật mặc định ở gần như mọi nơi quan trọng; RFC 8064 làm nốt phần còn lại khi loại địa chỉ MAC ra khỏi cả nửa cố định. Điều chúng không làm được là ẩn ISP hay vị trí gần đúng của bạn, vì thông tin đó nằm ở tiền tố mạng chứ không phải ở định danh giao diện — để xử lý lớp phơi bày này, bạn vẫn cần xem xét toàn bộ địa chỉ IP của mình đang tiết lộ điều gì.
Bài viết nên đọc:
