Trước kia privacy cookie chỉ lo hàng xóm lén công thức. Internet thay đổi mọi thứ. Cookie trình duyệt thường hữu ích, dễ xóa. Nhưng biến thể khác "sinh ra để bám trụ" theo dõi bạn. Hai loại: supercookie và zombie cookie (thường gọi Evercookie) – khó xóa nhất. May mắn: chưa bị bỏ qua, browser đang tiến hóa chống lại.
Supercookie
Thuật ngữ hơi nhầm lẫn – dùng cho vài công nghệ khác nhau, chỉ một phần là cookie thực sự. Chung chung: bất cứ thứ gì thay đổi hồ sơ duyệt web để给你 unique ID. Cùng chức năng cookie (track), nhưng không xóa được.
Thường nghe "supercookie" chỉ:
- Unique Identifier Headers (UIDH)
- Lỗ hổng HTTP Strict Transport Security (HSTS)
- Cookie gốc từ top-level domain (ví dụ: ".com", ".co.uk") – cho phép mọi site cùng suffix thấy cookie. Browser hiện đại chặn mặc định loại này, ít ai nhắc đến nữa.
Unique Identifier Header (UIDH)
UIDH không nằm trên máy bạn – xảy ra giữa ISP và server web:
- Bạn gửi request web đến ISP.
- ISP thêm chuỗi unique identifier vào header request trước khi forward đến server.
- Chuỗi này cho site nhận diện bạn là cùng user mỗi lần truy cập, dù bạn xóa cookie. Biết bạn là ai → gán lại cookie cũ.
Đơn giản: ISP dùng UIDH tracking → gửi "chữ ký cá nhân" bạn đến mọi site (hoặc site trả tiền cho ISP). Dùng tối ưu doanh thu quảng cáo, nhưng xâm lấn → FCC phạt Verizon $1.35M vì không báo cho khách hàng/cho opt-out.
Ngoài Verizon, ít data công ty nào dùng UIDH. Phản ứng tiêu cực → chiến thuật không phổ biến. Hơn nữa: chỉ hoạt động HTTP không mã hóa. Hầu hết web dùng HTTPS mặc định, extension HTTPS Everywhere dễ cài → UIDH không còn vấn đề lớn, có lẽ không dùng rộng rãi. Muốn an toàn thêm: dùng VPN – request relay đến web không kèm UIDH.
HTTPS Strict Transfer Security (HSTS) Supercookie
Loại hiếm, chưa xác định site cụ thể, nhưng Apple patch Safari chống nó, citing confirmed attack.
HSTS thực ra tốt: buộc browser redirect an toàn sang HTTPS thay HTTP. Nhưng có thể bị khai thác tạo supercookie:
- Tạo nhiều subdomain (domain.com, subdomain2.domain.com...).
- Gán số ngẫu nhiên cho visitor trang chính.
- Buộc user load tất cả subdomain (pixel vô hình hoặc redirect qua từng subdomain khi load).
- Một số subdomain: bảo browser dùng HSTS chuyển sang secure. Số khác: để HTTP.
- Subdomain bật HSTS = "1", tắt = "0". Viết ID ngẫu nhiên nhị phân vào cài đặt HSTS browser.
- Lần truy cập sau: site check HSTS policy browser → trả về cùng số nhị phân → nhận diện user.
Phức tạp nhưng bản chất: site khiến browser tạo/nhớ cài đặt bảo mật nhiều trang, lần sau check combo cài đặt duy nhất → biết bạn là ai.
Apple đã giải pháp: chỉ cho HSTS set cho 1-2 domain chính/site, giới hạn redirect chuỗi. Browser khác có thể làm theo (Firefox incognito mode giúp). Chưa có case xác thực → không ưu tiên cao. Tự xử lý: đào setting xóa HSTS policy thủ công.
Zombie cookie / Evercookie
Zombie cookie: "sống lại sau khi tưởng đã chết". "Evercookie" – JS API minh họa bao nhiêu cách cookie lách law xóa. Không phải cookie vĩnh cửu kiểu Wonka.
Zombie cookie không bị xóa vì trú ẩn ngoài kho cookie thông thường. Local storage (Adobe Flash, Microsoft Silverlight dùng nhiều), HTML5 storage cũng vấn đề. Cookie "living dead" thậm chí trong web history hoặc mã màu RGB browser cho vào cache. Site chỉ cần tìm 1 cookie ẩn → hồi sinh các cookie khác.
Nhiều lỗ hổng này biến mất: Flash/Silverlight không còn phổ biến, browser ít bị tổn thương các nơi trú Evercookie khác. Nhưng nhiều cách lách law → không có cách bảo vệ đơn nhất. Bộ extension privacy tốt + thói quen xóa browser đều không bao giờ thừa!
An toàn hay không?
Công nghệ tracking online là cuộc đua vô tận. Quan tâm privacy → chấp nhận: không bao giờ đảm bảo 100% ẩn danh online.
Supercookie: không lo lắng nhiều – hiếm gặp trong thực tế, bị chặn ngày càng nhiều. Zombie cookie/Evercookie: khó xóa hơn. Nhiều con đường phổ biến đã chặn, nhưng vẫn tiềm ẩn hoạt động cho đến khi vá hết lỗ hổng, và luôn có kỹ thuật mới.