Safari thêm nhiễu trong Private Browsing và từ Safari 26.0 hạn chế script fingerprinting đã biết. WebKit nói hạn chế gì, và không hạn chế gì.
Câu hỏi "Safari có chặn fingerprinting không?" không có câu trả lời một dòng. Safari không làm mọi người dùng giống hệt nhau như Tor Browser, và mặc định không thêm nhiễu vào lệnh gọi API của mọi website. Theo chính ghi chú của WebKit, có hai lớp: bảo vệ bổ sung trong Private Browsing (từ Safari 17) và, từ Safari 26.0, hạn chế đối với các script mà Safari phân loại là script fingerprinting đã biết.
Điểm Chính
- Theo ghi chú Safari 17.0 của WebKit, Private Browsing được thêm "nhiễu cho các Web API có thể bị fingerprint" và chặn tracker cùng fingerprinting đã biết.
- Theo ghi chú Safari 26.0 của WebKit, script fingerprinting đã biết không thể đọc đáng tin cậy các API như kích thước màn hình, hardware concurrency, danh sách giọng SpeechSynthesis, khả năng thanh toán Apple Pay, đọc lại web audio và canvas 2D.
- Các script này cũng không được ghi dữ liệu lưu trữ lâu dài, và không đọc được tham số truy vấn lẫn
document.referrer. - Bảo vệ phụ thuộc việc script được nhận diện là đã biết. Script chưa được phân loại không được mô tả là bị hạn chế.
- Địa chỉ IP, TLS handshake và danh tính của engine trình duyệt nằm ngoài phạm vi các ghi chú này.
Hai Lớp, Không Phải Một Công Tắc
Phòng thủ chống fingerprinting thường theo một trong hai ý tưởng. Đồng nhất hóa khiến nhiều người dùng trả về cùng giá trị, như resistFingerprinting của Firefox và Tor. Thêm nhiễu làm méo đầu ra để tracker không giữ được giá trị ổn định, xem bài về canvas noise; trình duyệt DuckDuckGo dùng cả hai.
Cách WebKit mô tả thì khác: nhắm vào các script được biết là fingerprint, để yên script thông thường. Website ít hỏng hơn, đổi lại phụ thuộc vào việc phân loại.
Lớp Một: Private Browsing (Safari 17)
Bài Safari 17.0 liệt kê thay đổi của Private Browsing. Liên quan ở đây: chặn tracker và fingerprinting đã biết, và thêm nhiễu cho Web API có thể bị fingerprint. Ngoài ra còn chặn tham số theo dõi đã biết trong liên kết, giảm thiểu tracker ánh xạ subdomain sang IP bên thứ ba, và chặn tracker ngụy trang bằng CNAME.
Bài không nói nhiễu được tạo thế nào hay áp dụng cho API nào, nên chúng tôi không khẳng định chi tiết. Bài cũng không nói các biện pháp này áp dụng cho cửa sổ thường. Hãy coi đó là tính năng của Private Browsing, trừ khi trang WebKit bạn đọc nói khác.
Lớp Hai: Script Fingerprinting Đã Biết (Safari 26.0)
Thay đổi trong ghi chú Safari 26.0 chỉ áp dụng cho script mà Safari nhận ra là fingerprinting:
| Bị hạn chế | Bài phân tích liên quan |
|---|---|
| Kích thước màn hình | Fingerprint độ phân giải màn hình |
| Hardware concurrency | Hardware concurrency và device memory |
| Danh sách giọng SpeechSynthesis | Fingerprint tổng hợp giọng nói |
| Đọc lại web audio | Audio fingerprinting |
| Canvas 2D | Phát hiện canvas fingerprint |
| Khả năng thanh toán Apple Pay, "và hơn nữa" | — |
Cách diễn đạt của WebKit là các script này bị ngăn "truy cập đáng tin cậy" vào những API đó. Bài không nói đó là nhiễu, giá trị cố định hay kết quả rỗng, nên chúng tôi không đoán. Còn hai hạn chế nữa ngoài việc đọc API: script đã biết không được ghi dữ liệu lưu trữ lâu dài như cookie hay LocalStorage, và không được đọc trạng thái dùng cho theo dõi điều hướng, tức tham số truy vấn và document.referrer.
Safari Còn Bỏ Ngỏ Những Gì
- Script chưa được phân loại. Quy tắc dựa trên phân loại, nên script mà Safari chưa nhận diện không được mô tả là bị hạn chế. Mã first-party của chính website, chưa từng bị gắn cờ, là ví dụ rõ nhất.
- Tín hiệu tầng mạng. IP và TLS handshake luôn hiện với máy chủ ở mọi trình duyệt, xem TLS fingerprinting.
- Danh tính engine. Website vẫn biết đó là WebKit, và trên iPhone điều này đúng với mọi trình duyệt. Chúng tôi không cho rằng Chrome hay Firefox trên iOS thừa hưởng cài đặt riêng tư của Safari; các bài WebKit được dẫn không nói vậy.
- Theo dõi dựa trên trạng thái là lớp riêng. Intelligent Tracking Prevention xử lý cookie, lưu trữ và referrer, không xử lý dấu vân tay được tính toán.
Độ ổn định cũng đáng lưu ý: dấu vân tay chỉ hữu ích cho tracker khi nó không đổi, mà trên thực tế dấu vân tay vẫn tự thay đổi theo các bản cập nhật trình duyệt và thay đổi cài đặt, xem dấu vân tay suy giảm theo thời gian.
Tự Kiểm Tra
Mở công cụ kiểm tra dấu vân tay trong cửa sổ Safari thường, rồi trong cửa sổ Private, và so sánh những giá trị đọc được cũng như việc chúng có đổi sau mỗi lần tải lại hay không. BrowserInsight là trang first-party và việc thu thập diễn ra ngay trong trình duyệt của bạn, nên nhiều khả năng quy tắc "script fingerprinting đã biết" không áp dụng cho nó. Công cụ hiển thị những gì một trang đọc được, không báo bảo vệ của Safari có đang hoạt động hay không; kết luận do bạn tự rút ra. Kiến thức nền xem hướng dẫn browser fingerprinting.
Câu Hỏi Thường Gặp
Safari có chặn hoàn toàn fingerprinting không?
Không. WebKit mô tả hạn chế với script đã biết và bảo vệ bổ sung trong Private Browsing, không phải bảo đảm toàn diện.
Các bảo vệ này có bật khi duyệt web bình thường không?
Hạn chế của Safari 26.0 trong ghi chú không gắn riêng với Private Browsing; phần bổ sung của Safari 17.0 được liệt kê riêng dưới mục Private Browsing.
Safari có làm dấu vân tay của tôi giống người khác không?
Các bài WebKit được dẫn không nói vậy. Mục tiêu nêu ra là ngăn script đã biết đọc đáng tin cậy đặc điểm thiết bị.
