Kiểm tra dấu vân tay trình duyệt: trang web đọc được gì từ máy bạn
Browser fingerprint test này liệt kê từng thông tin mà JavaScript của một trang web đọc được từ trình duyệt mà không cần cookie: chuỗi user agent và Client Hints, ngôn ngữ, múi giờ, màn hình, số luồng CPU, bộ nhớ, cảm ứng, ảnh canvas, card đồ họa qua WebGL, dấu vân tay âm thanh, font đã cài, plugin, Do Not Track, Global Privacy Control và khả năng lưu trữ. Các giá trị được băm SHA-256 ngay trên máy bạn để bạn thấy một mã nhận dạng có thể hình thành thế nào, kèm đánh giá định tính mức nhận dạng của từng thuộc tính.
Tính năng nổi bật
- Đọc user agent, nền tảng, nhà cung cấp, plugin và User-Agent Client Hints, kể cả giá trị chi tiết như phiên bản đầy đủ, kiến trúc CPU, phiên bản hệ điều hành, model máy trên Chrome, Edge, Cốc Cốc
- Đọc danh sách ngôn ngữ ưu tiên, múi giờ IANA kèm độ lệch UTC và định dạng vùng
- Đọc độ phân giải màn hình, vùng dùng được, độ sâu màu, tỷ lệ điểm ảnh, số luồng CPU, bộ nhớ ước lượng, số điểm chạm, loại con trỏ, dải màu
- Vẽ một ảnh canvas thử, hiện ảnh đó và tính mã SHA-256 của ảnh; vẽ hai lần để phát hiện trình duyệt có thêm nhiễu chống dò tìm
- Đọc tên card đồ họa qua WebGL (vendor, renderer và bản unmasked nếu trình duyệt cho phép) và số phần mở rộng WebGL
- Đo dấu vân tay âm thanh bằng OfflineAudioContext (sóng tam giác 10 kHz qua bộ nén), đo hai lần để phát hiện nhiễu
- Dò 78 font phổ biến của Windows, macOS, Linux, Android, Office và font tiếng Việt cũ (VNI, TCVN3) bằng cách đo chiều rộng chữ
- Kiểm tra Do Not Track, Global Privacy Control, cookie, localStorage, sessionStorage, IndexedDB, trình xem PDF, chế độ sáng tối
- Tính mã băm tổng hợp SHA-256 bằng Web Crypto từ các thuộc tính ổn định, bỏ kích thước cửa sổ vì giá trị này đổi khi kéo cửa sổ
- Gắn nhãn mức nhận dạng định tính Cao, Trung bình, Thấp cho từng thuộc tính; chép mã băm, chép hoặc tải toàn bộ kết quả dạng JSON; không gửi dữ liệu đi
Vì sao nên xem trình duyệt của mình để lộ những gì
Xóa cookie, mở cửa sổ ẩn danh hay chặn cookie bên thứ ba chưa đủ để một trang web không nhận ra bạn. Mỗi trình duyệt khi chạy JavaScript đều trả lời được hàng chục câu hỏi nhỏ: đang chạy hệ điều hành nào, màn hình bao nhiêu điểm ảnh, card đồ họa gì, cài những font nào, vẽ chữ ra từng điểm ảnh ra sao. Từng câu trả lời riêng lẻ thì nhiều người giống nhau, nhưng gộp lại thì đủ khác biệt để các dịch vụ quảng cáo, chống gian lận hay phân tích nhận ra cùng một trình duyệt qua nhiều lần truy cập. Kỹ thuật này gọi là browser fingerprinting. Công cụ cho bạn thấy cụ thể danh sách đó trên chính máy mình, để bạn hiểu mức độ lộ thông tin và kiểm tra xem trình duyệt hay tiện ích chống theo dõi bạn đang dùng có thật sự làm thay đổi kết quả hay không.
Lợi ích khi sử dụng
- Hiểu cụ thể vì sao xóa cookie vẫn có thể bị nhận ra
- Kiểm chứng trình duyệt chống theo dõi có thêm nhiễu vào canvas, âm thanh thật hay không
- Biết trình duyệt của mình có đang gửi Global Privacy Control, Do Not Track hay không
- So sánh mức lộ thông tin giữa Chrome, Firefox, Brave, Safari, Cốc Cốc trên cùng máy
- Có bản JSON để người làm IT, bảo mật đối chiếu cấu hình máy trong công ty
- Không có dữ liệu nào rời khỏi máy, không cần tài khoản
Cách xem dấu vân tay trình duyệt
- 1Mở trang, công cụ tự đọc thông tin ngay. Chờ dòng Mã băm tổng hợp (SHA-256) hiện chuỗi 64 ký tự.
- 2Xem ba ô tóm tắt: số thuộc tính đọc được, số thuộc tính ở mức nhận dạng cao, trung bình, thấp và ô Nhiễu chống dò tìm cho canvas, âm thanh.
- 3Kéo xuống các nhóm Trình duyệt, Ngôn ngữ múi giờ, Màn hình phần cứng, Đồ họa âm thanh, Font, Quyền riêng tư lưu trữ để đọc từng giá trị và nhãn mức nhận dạng.
- 4Bấm Chép mã băm, rồi mở trang này trong cửa sổ ẩn danh hoặc sau khi xóa cookie và so mã băm mới với mã cũ.
- 5Thay đổi thiết lập chống theo dõi của trình duyệt hoặc bật tiện ích bảo vệ, bấm Quét lại để xem giá trị nào thay đổi.
- 6Bấm Chép JSON hoặc Tải JSON nếu muốn lưu kết quả để so sánh giữa các máy, các trình duyệt.
Browser fingerprinting là gì
Browser fingerprinting là cách nhận dạng một trình duyệt bằng tổ hợp đặc điểm của nó thay vì bằng cookie hay mã lưu trên máy. Kịch bản của trang web đọc các thuộc tính sẵn có như user agent, độ phân giải, múi giờ, danh sách font, rồi chạy vài phép thử như vẽ chữ lên canvas hay tổng hợp một đoạn âm thanh, gom tất cả thành một mã băm. Vì không lưu gì trên máy, cách này không bị xóa khi bạn xóa cookie và vẫn hoạt động trong cửa sổ ẩn danh. Năm 2010, nghiên cứu Panopticlick của tổ chức EFF (bài báo How Unique Is Your Web Browser? của Peter Eckersley) thu thập dấu vân tay của khoảng 470 nghìn trình duyệt và thấy 83,6% trong số đó là duy nhất trong mẫu, tỷ lệ lên 94,2% ở các trình duyệt bật Flash hoặc Java. Từ đó trình duyệt đã thay đổi nhiều: Flash, Java không còn, plugin bị cố định, user agent được rút gọn, nhưng canvas, WebGL, font và âm thanh vẫn là nguồn khác biệt lớn.
Cách đọc nhãn mức nhận dạng
Công cụ gắn nhãn Cao, Trung bình, Thấp cho từng thuộc tính theo đánh giá định tính: thuộc tính đó thường khác nhau nhiều hay ít giữa các máy. Nhãn Cao dành cho những giá trị chi tiết, ít người trùng như chuỗi user agent đầy đủ, phiên bản trình duyệt và hệ điều hành qua Client Hints, mã băm canvas, tên card đồ họa, danh sách font. Nhãn Trung bình dành cho giá trị có vài chục khả năng phổ biến như ngôn ngữ, múi giờ, độ phân giải, số luồng CPU, dấu vân tay âm thanh. Nhãn Thấp dành cho giá trị mà phần lớn người dùng giống nhau như cookie được bật hay danh sách plugin cố định. Công cụ không ước tính kiểu bạn là 1 trong bao nhiêu người, vì việc đó cần một cơ sở dữ liệu lớn thu từ người dùng thật, trong khi trang này không thu thập gì. Ví dụ múi giờ Asia/Ho_Chi_Minh gần như không phân biệt ai ở Việt Nam, nhưng sẽ rất khác biệt nếu bạn là người duy nhất dùng múi giờ đó trên một trang web của nước khác.
Canvas, WebGL và âm thanh: vì sao cùng lệnh mà mỗi máy cho kết quả khác
Khi trang yêu cầu vẽ cùng một dòng chữ, cùng màu, cùng hình lên canvas, kết quả từng điểm ảnh phụ thuộc font có trên máy, cách hệ điều hành làm mịn chữ, card đồ họa và driver. Chênh lệch vài điểm ảnh là đủ làm mã băm khác hẳn. Công cụ vẽ một ảnh nhỏ gồm chữ tiếng Việt, một ký tự biểu tượng cảm xúc, chữ tiếng Anh, hình chữ nhật và hình tròn chồng màu, rồi băm SHA-256 ảnh đó. WebGL cho biết thêm tên card đồ họa và driver qua phần mở rộng WEBGL_debug_renderer_info nếu trình duyệt cho phép. Phép thử âm thanh dùng OfflineAudioContext để tổng hợp một sóng tam giác 10 kHz đi qua bộ nén, rồi cộng biên độ các mẫu cuối: phép tính dấu phẩy động trong bộ xử lý âm thanh cho ra con số hơi khác giữa các hệ thống. Trang không phát âm thanh nào ra loa.
Dò font đã cài bằng cách đo chiều rộng chữ
Trang web không có API để liệt kê font trên máy, nhưng có thể đoán bằng cách đo. Công cụ đo chiều rộng một chuỗi mẫu với ba font gốc monospace, sans-serif, serif. Sau đó với mỗi font cần thử, nó khai báo font đó kèm font gốc dự phòng và đo lại: nếu máy có font đó, chữ được vẽ bằng font đó nên chiều rộng khác đi; nếu không, trình duyệt rơi về font gốc và chiều rộng giữ nguyên. Danh sách thử gồm 78 font hay gặp của Windows, macOS, Linux, Android, bộ Office, Adobe và vài font tiếng Việt cũ như VNI-Times, .VnTime. Có font như VNI hay .VnTime là chi tiết khá đặc trưng cho máy ở Việt Nam. Safari chỉ cho trang web dùng font đi kèm hệ điều hành, nên trên Safari danh sách thường ngắn và giống nhau giữa các máy cùng phiên bản macOS hoặc iOS.
User agent và Client Hints
Chuỗi user agent từng chứa đủ tên trình duyệt, phiên bản chi tiết và phiên bản hệ điều hành. Chrome và các trình duyệt Chromium đã rút gọn chuỗi này, giữ số phiên bản chính và cố định một số phần, rồi chuyển thông tin chi tiết sang User-Agent Client Hints. Một số giá trị như tên thương hiệu, có phải di động không, nền tảng được gửi sẵn; các giá trị chi tiết như phiên bản đầy đủ, kiến trúc CPU, phiên bản hệ điều hành, model điện thoại thì trang phải gọi getHighEntropyValues để lấy, và trong JavaScript của chính trang, lệnh này thường trả về ngay. Công cụ gọi đúng lệnh đó để bạn thấy trang web có thể biết những gì. Firefox và Safari không hỗ trợ Client Hints, nên phần này hiện là không hỗ trợ.
Do Not Track, Global Privacy Control và cookie
Do Not Track là tín hiệu cũ báo cho trang web rằng bạn không muốn bị theo dõi; nó chưa từng trở thành bắt buộc và phần lớn trang web bỏ qua. Global Privacy Control (GPC) là tín hiệu mới hơn, được Brave, DuckDuckGo và Firefox hỗ trợ, và một số luật bảo vệ dữ liệu ở nước ngoài coi đó là yêu cầu từ chối bán, chia sẻ dữ liệu. Công cụ chỉ cho biết trình duyệt có gửi các tín hiệu này hay không, không đánh giá trang web nào tuân thủ. Điều trớ trêu là bật một tín hiệu ít người dùng cũng làm trình duyệt khác biệt hơn một chút. Trạng thái cookie, localStorage, sessionStorage, IndexedDB được đọc chỉ để biết có hay không, công cụ không ghi gì vào các bộ nhớ đó.
Cách giảm dấu vân tay trình duyệt
Có hai hướng: làm cho mọi người trông giống nhau, hoặc làm cho giá trị thay đổi liên tục. Tor Browser theo hướng đầu, cố định kích thước cửa sổ theo bậc, đồng nhất user agent, font, múi giờ để người dùng hòa lẫn vào nhau. Firefox có chế độ privacy.resistFingerprinting kế thừa từ Tor và tính năng chặn các kịch bản dò dấu vân tay đã biết trong chế độ chống theo dõi nâng cao. Brave theo hướng thứ hai, thêm nhiễu nhỏ vào canvas, WebGL, âm thanh khác nhau theo từng trang và từng phiên, nên mã băm thay đổi. Ô Nhiễu chống dò tìm của công cụ cho biết trình duyệt bạn có làm việc này không. Vài thói quen cũng giúp: hạn chế cài font lạ, không cài quá nhiều tiện ích vì tiện ích có thể bị phát hiện, giữ trình duyệt cập nhật để giống số đông, và dùng chế độ chặn kịch bản theo dõi. Không có cách nào xóa hẳn dấu vân tay, vì trang web vẫn cần biết vài thông tin để hiển thị đúng.
Dữ liệu được xử lý thế nào trên trang này
Toàn bộ việc đọc thuộc tính, vẽ canvas, tổng hợp âm thanh, đo font và băm SHA-256 chạy trong trình duyệt của bạn bằng JavaScript và Web Crypto. Trang không gửi kết quả về máy chủ, không ghi vào cookie hay localStorage, và không so mã băm của bạn với ai khác. Khi bạn đóng trang, kết quả mất. Nút Chép JSON và Tải JSON chỉ tạo bản sao trên máy bạn. Công cụ dành cho việc tìm hiểu và kiểm tra trình duyệt của chính bạn hoặc máy bạn quản lý; nó không thu thập hay theo dõi người khác. Kết quả có thể khác giữa hai lần quét nếu bạn đổi cỡ chữ hệ thống, cắm màn hình khác, cập nhật trình duyệt hoặc driver đồ họa.
Câu hỏi thường gặp (FAQ)
Browser fingerprint là gì?
Là tổ hợp các đặc điểm của trình duyệt và máy như user agent, màn hình, múi giờ, font, card đồ họa, cách vẽ canvas mà trang web đọc được bằng JavaScript. Gộp lại, chúng tạo thành một mã có thể dùng để nhận ra cùng một trình duyệt mà không cần cookie.
Mở ẩn danh có thay đổi dấu vân tay không?
Thường là không nhiều. Chế độ ẩn danh xóa cookie và lịch sử khi đóng, nhưng phần cứng, font, màn hình, cách vẽ canvas vẫn như cũ. Bạn có thể tự thử: chép mã băm, mở trang trong cửa sổ ẩn danh rồi so.
Mã băm tổng hợp trên trang có phải mã các trang web dùng để theo dõi tôi?
Không hẳn. Mỗi dịch vụ chọn bộ thuộc tính và cách băm riêng. Mã trên trang chỉ minh họa rằng từ những thông tin vừa liệt kê có thể tạo ra một mã ổn định. Nó không được gửi đi hay so với ai.
Công cụ có cho biết tôi là 1 trong bao nhiêu người không?
Không. Ước tính như vậy cần một cơ sở dữ liệu lớn thu từ nhiều người dùng, mà trang này không thu thập gì. Công cụ chỉ gắn nhãn định tính Cao, Trung bình, Thấp cho từng thuộc tính.
Canvas fingerprint là gì?
Trang web vẽ chữ và hình lên một canvas ẩn rồi đọc lại ảnh. Do khác font, cách làm mịn chữ, card đồ họa và driver, mỗi máy cho ra ảnh hơi khác, nên mã băm của ảnh khác. Công cụ hiện ngay ảnh vừa vẽ và mã SHA-256 của nó.
Vì sao mã canvas của tôi thay đổi mỗi lần quét?
Trình duyệt của bạn đang thêm nhiễu chống dò tìm, như Brave hoặc Firefox bật chế độ chống dấu vân tay. Ô Nhiễu chống dò tìm sẽ báo có. Đây là dấu hiệu tốt: mã thay đổi thì khó dùng để nhận dạng lâu dài.
WebGL renderer cho trang web biết gì?
Tên card đồ họa và driver, ví dụ tên GPU tích hợp hay card rời. Kết hợp với hệ điều hành và màn hình, nó thu hẹp đáng kể loại máy bạn dùng. Một số trình duyệt ẩn tên đầy đủ hoặc trả về tên chung chung.
Audio fingerprint có bật âm thanh không?
Không. Công cụ dùng OfflineAudioContext để tính toán một đoạn âm thanh trong bộ nhớ, không phát ra loa và không dùng micro. Chỉ con số tổng biên độ được dùng làm dấu vân tay.
Làm sao trang web biết máy tôi cài font gì?
Bằng cách đo chiều rộng chữ khi khai báo một font kèm font dự phòng. Nếu chiều rộng khác khi chỉ dùng font dự phòng thì font đó có trên máy. Công cụ thử 78 font phổ biến, trong đó có font tiếng Việt cũ như VNI-Times, .VnTime.
Client Hints là gì?
Là cơ chế mới của Chrome và các trình duyệt Chromium để cung cấp thông tin trình duyệt, hệ điều hành, thiết bị theo từng mục thay vì nhồi hết vào user agent. Trang có thể xin các giá trị chi tiết như phiên bản hệ điều hành, model máy bằng JavaScript.
Bật Do Not Track có giúp không bị theo dõi không?
Gần như không. Do Not Track chỉ là lời đề nghị, phần lớn trang web bỏ qua. Global Privacy Control có trọng lượng hơn ở một số nơi có luật riêng, nhưng vẫn phụ thuộc trang web có tôn trọng hay không.
Trình duyệt nào chống fingerprint tốt?
Tor Browser làm mọi người trông giống nhau, Brave thêm nhiễu ngẫu nhiên vào canvas, WebGL, âm thanh, Firefox có chế độ chặn kịch bản dò dấu vân tay và chế độ resistFingerprinting. Hãy chạy công cụ trên từng trình duyệt để tự so sánh.
Dùng VPN có thay đổi dấu vân tay không?
VPN chỉ đổi địa chỉ IP, không đổi thông tin mà trình duyệt trả lời. Màn hình, font, canvas, múi giờ vẫn như cũ. Thậm chí múi giờ máy khác với vị trí của IP VPN còn là một chi tiết dễ thấy.
Công cụ có gửi thông tin của tôi đi không?
Không. Mọi phép đo và mã băm chạy trong trình duyệt, không có yêu cầu mạng nào gửi kết quả đi, không ghi cookie hay localStorage. Tải lại trang là kết quả mất.
Kết quả trên điện thoại có khác máy tính không?
Có. Điện thoại cùng model thường giống nhau nhiều hơn máy tính, vì phần cứng, font, màn hình đồng nhất. Tuy vậy model máy qua Client Hints trên Android, ngôn ngữ, múi giờ và phiên bản hệ điều hành vẫn góp phần phân biệt.
Browser fingerprint checker này khác công cụ tạo vân tay giả (fingerprint generator) thế nào?
Trang này là browser fingerprint checker: chỉ đọc và hiển thị những gì trình duyệt của bạn đang để lộ, không sửa hay giả lập gì. Các trình duyệt đa tài khoản và tiện ích tạo vân tay giả thì cố tình đổi user agent, canvas, WebGL để mỗi hồ sơ trông như một máy khác. Bạn có thể dùng trang này để xem những thay đổi đó có thật sự được áp dụng không, nhưng trang không tạo hay bán vân tay giả.
Có xóa được dấu vân tay trình duyệt không?
Không xóa hẳn được, vì trang web luôn đọc được một số thông tin để hiển thị đúng. Bạn chỉ có thể giảm độ khác biệt bằng trình duyệt chống dò tìm, giữ trình duyệt cập nhật, hạn chế cài font và tiện ích lạ.
Từ khóa liên quan
- browser fingerprint
- browser fingerprint check
- browser fingerprint test
- browser fingerprint checker
- fingerprint test browser
- browser fingerprinting
- browser fingerprinting protection
- kiểm tra dấu vân tay trình duyệt
- dấu vân tay trình duyệt là gì
- canvas fingerprint
- canvas fingerprint test
- webgl fingerprint
- audio fingerprint
- font fingerprinting
- user agent client hints
- trình duyệt chống theo dõi
- chống fingerprint
- global privacy control
- do not track là gì
- ẩn danh có bị theo dõi không
- trang web biết gì về tôi