Tác giả: Iulian Gulea
Chúng ta sống trong thời kỳ đáng kinh ngạc. Chụp ảnh nơi, người thích bằng nhấn nút điện thoại; mua sắm từ nhà mọi thứ từ kim đến ô tô; tiếp cận hàng trăm nghìn người qua mạng xã hội, blog, và tiêu thụ thông tin bất kỳ chủ đề, lượng, thời điểm.
Đối với người 30 năm trước nghe như tương lai. Với chúng ta đó chỉ là cách mọi thứ vận hành. Lẽ thường.
Nhưng tất cả có giá. Và giá đó là quyền riêng tư.
Tại sao cần riêng tư?
Tôi tuân thủ pháp luật, không có gì giấu.
Hoặc:
Tại sao giấu trong thế giới kết nối toàn cầu?
Nhiều người nghĩ vậy, dễ hiểu và bình thường. Chúng ta mong đợi công ty biết nhiều info (vì tự cung cấp), nhưng có thể ngạc nhiên công ty khác thu thập thông tin nhạy cảm hơn nhiều mà không muốn chia sẻ.
Làm tình hình tồi tệ hơn, tiến bộ AI gần đây cho phép công ty tìm pattern thú tạo hồ sơ sinh lý, tâm lý chi tiết dựa trên hành vi trực tuyến. Có vụ 2012, công ty biết con gái mang thai trước cả gia đình. Bay giờ tưởng tượng AI và dữ liệu lớn làm được gì.
Hy vọng cuối bài, bạn xem lại suy nghĩ về quyền riêng tư online. Trước khi tiếp, hãy suy nghĩ cảm giác nếu phải chia sẻ thông tin sau với 200 người lạ:
- vị trí địa lý
- khi nào lướt net và bao lâu
- danh sách trang truy cập mỗi ngày
- bệnh (nếu có) tìm kiếm online
- loại sản phẩm mua online
- thiết bị dùng kết nối internet
- loại nội dung ưa đọc
- loại thức ăn ưa thích
- quan điểm chính trị
Danh sách còn dài, dừng ở đây. Có lẽ bạn không chia sẻ tất cả với bạn bè, chứ đừng nói người lạ.
Tuy nhiên, thực tế hôm nay nhiều người vô tình, vô thức chia sẻ dữ liệu như vậy cho "người lạ" trong công ty thu thập dữ liệu để獲利.
"Hồ sơ ẩn danh cá nhân" của bạn
Dù đa số công ty thu thập dữ liệu không biết tên thật, không quan trọng. Không phải tên họ quan tâm, mà hành vi và sở thích. Nếu không tên, chỉ gán ID trong hệ thống.
Tuy nhiên, một số công ty biết tên và thậm chí số bảo hiểm xã hội, dù bạn không chia sẻ rõ ràng.
Người ta "chia sẻ" hầu hết dữ liệu, trong vô tri về loại thông tin dễ lấy được khi lướt net.
Có quá nhiều về quyền riêng tư, sợ không thể bảo vệ hoàn toàn khỏi mắt công ty vô đạo đức, nhưng có thể giảm thiểu rủi ro. Mời khám phá cách làm.
Kim tự tháp quyền riêng tư (The Pyramid of Privacy)
Muốn minh họa trực quan gì bảo vệ quyền riêng tư và hiệu quả ra sao.
Theo thứ tự quan trọng, từ dưới lên:
1. Hệ điều hành (Operating System)
Nguồn: pixabay.com
Nếu không nền tảng vững chắc, không xây được gì hữu ích. Ra sự việc, ngay lựa chọn hệ điều hành cũng đe dọa quyền riêng tư.
Rủi ro
Nếu dùng Windows 10, có tin xấu, vì:
- Thiết bị mặc định gắn ID quảng cáo duy nhất
- Đồng bộ dữ liệu mặc định bật (lịch sử duyệt, cài đặt app, tên/pass wifi)
- Cortana thu thập bất kỳ dữ liệu (kể cả info thẻ tín dụng, input mic, v.v.)
- Microsoft thu thập mọi dữ liệu cá nhân
- Tất cả dữ liệu có thể chia sẻ, bất kỳ bên thứ ba, даже không cần đồng ý
Giải pháp
Giải pháp có thể: chuyển sang hệ điều hành khác như Linux hoặc MacOS. Nếu MacOS cần mua Mac, cài bản phân phối Linux chọn trên bất kỳ máy.
Nếu nghe chuyện khủng khiếp về Linux, tự kiểm tra. Đây danh sách bản phân phối phổ biến, xem giao diện và tải cài. Hoặc không biết bắt đầu đâu, chọn Ubuntu.
Vẫn không muốn chuyển Windows? Thử W10Privacy – công cụ tắt cài đặt theo dõi Windows.
2. Lớp mạng (Networking Layer)
Nguồn: pixabay.com
Bây giờ, khi ít nhất có cơ hội ẩn danh và không ID duy nhất gắn máy không bỏ được, nói về kết nối Internet.
Bạn bao giờ nghĩ Internet hoạt động như thế nào? Quy trình điều hướng phức tạp, nhưng phản ánh sức mạnh kỹ thuật. Tuy nhiên, không đào sâu nội tại, tập trung chủ đề quyền riêng tư: IP và VPN.
Rủi ro
Như thế giới thực, thiết bị kết nối Web toàn cầu có địa chỉ riêng, địa chỉ IP hiển thị với mọi trang truy cập. Do đó, bất kể làm gì ẩn dữ liệu/sở thích, bạn dễ nhận diện qua địa chỉ kết nối Internet.
Đó là lý do thấy quảng cáo ngôn ngữ mẹ đẻ từ quốc gia bạn sống, ngay cả khi truy cập trang nước ngoài.
Đó cũng là phương pháp trang web hạn chế truy cập từ quốc gia cụ thể. Xem IP trỏ đâu trên bản đồ thế giới.
Giải pháp
- Mạng riêng ảo (VPN)
- Kiểm tra rò rỉ IP WebRTC
Thảo luận từng cái.
1. Mạng riêng ảo (VPN)
Không thể chỉ giấu IP, vì không lướt được net. Nhưng có thể giả vờ IP khác IP thật. Đây chỗ Mạng riêng ảo phát huy.
Mạng riêng ảo (VPN) mở rộng mạng riêng qua mạng công cộng, cho phép user gửi/nhận dữ liệu qua mạng chia sẻ/công cộng như thiết bị kết nối trực tiếp mạng riêng.
Nguồn: Wikipedia
Có hơn 150 nhà cung cấp VPN toàn cầu, chọn đúng khó, vì mỗi nhà cung cấp tính năng/hạn chế riêng.
Tuy nhiên, vài yếu tố then chốt khi chọn, ngạc nhiên liên quan "mắt".
Five Eyes, Nine Eyes, Fourteen Eyes
Tất cả là liên minh toàn cầu mục đích giám sát hàng loạt. Hợp tác thu thập, phân tích, chia sẻ dữ liệu công dân khắp nơi. Bắt đầu sau WWII, giờ quốc gia gián điệp công dân nhau và chia sẻ tình báo hoạt động online, email, bài Facebook.
Quốc gia cấu thành:
Five Eyes:
- Australia
- Canada
- New Zealand
- United Kingdom
- United States
Nine Eyes (cả trên thêm):
- Denmark
- France
- Netherlands
- Norway
Fourteen Eyes (cả trên thêm):
- Belgium
- Germany
- Italy
- Spain
- Sweden
Tóm lại, chọn VPN tại quốc gia这些 nhóm không đảm bảo quyền riêng tư, vì thực thể (như NSA) từ cùng/khác quốc gia có thể ép VPN (và bất kỳ dịch vụ online) cung cấp dữ liệu.
Có danh sách 150+ VPN với tính năng/hạn chế trên thatoneprivacysite.net. Đọc phân tích VPN phù hợp. Khuyên dùng 1 tháng trước mua gói dài hạn.
2. Kiểm tra rò rỉ IP WebRTC (dù VPN vẫn có thể thấy)
Đợi đã! Dù sau VPN và DNS mã hóa, vẫn có thể rò rỉ IP thật. V sao phức tạp?
Công nghệ luôn cải tiến, mỗi thứ mới phát triển, hoặc bug, hoặc cách khai thác tính năng để đạt kết quả. WebRTC – giao thức truyền thông mới dựa JavaScript có thể rò rỉ IP thật từ sau VPN. Kiểm tra privacytools.io nếu thấy IP, xem phần đó privacytools.io làm theo bước. Đừng quên kiểm tra lại WebRTC rò rỉ IP!
3. Trình duyệt (Browser)
Nguồn: pixabay.com
Thảo luận "ván lướt" dùng điều hướng vũ trụ số Internet.
Trình duyệt nào tốt?
- Internet Explorer! (không ai nói)
- Edge (…thì thầm…)
- Opera! (một vài người)
- Safari! (nhóm người full Apple mới nhất ngày ra mắt)
- Tor! (hét nhóm ẩn danh)
- Яндекс Браузер! (nhóm nói tiếng Nga)
- Chrome!!! (hét đám đông Google có bản sao số)
- Firefox!!! (hét đám đông poster quyền riêng tư)
- Brave! (ai đó nói, không rõ trình duyệt hay can đảm đời?)
Có chục trình duyệt, danh sách Wikipedia, nhưng không trả lời câu hỏi…
Rủi ro
Trình duyệt trên là phần mềm phức tạp truy cập Internet. Khi lướt Web, trình duyệt tương tác máy khác, lộ thông tin về bản thân cho mọi trang truy cập. ĐỠ phức tạp, vì tổ hợp cài đặt trình duyệt tạo Device Fingerprint duy nhất.
Nguồn: commons.wikimedia.org
Đợi, cái gì? Vân tay?
Device fingerprint là thông tin thu thập thiết bị tính toán từ xa để nhận diện. Fingerprint dùng nhận diện toàn phần hoặc một phần user/thiết bị ngay cả khi tắt cookie.
Nguồn: Wikipedia
Vậy, tin xấu là lướt net, bạn để vân tay số trên mỗi trang.
Tin tốt? Vân tay thiết bị có thể không duy nhất, nếu đổi cài đặt lộ ít dữ liệu cần thiết điều hướng.
Được vì vân tay không đơn lẻ, mà tập hợp cài đặt khác nhau (kích thước màn hình, loại trình duyệt, phiên bản, font cài, addon, v.v.) cùng nhau nhận diện duy nhất trình duyệt.
Nhớ nữ nhân áo đỏ Matrix? Cô nổi bật vì ngoại hình đặc biệt so với người quanh. Trình duyệt cũng vậy – đặc điểm riêng biệt càng nhiều, càng dễ nhận diện.
Nhưng nếu mặc áo khoác đen, áo trắng như người quanh, không nổi bật.
Có hơn chục mảnh thông tin trình duyệt lộ cài đặt, việc chúng ta làm cho chúng "phổ biến" nhất.
- panopticlick.eff.org
- amiunique.org
Chọn panopticlick, thấy như:
Cột ”Browser Characteristic”, tìm loại thông tin thu thập. Dựa trên này, trình duyệt được nhận diện. Cột thú vị “one in x browsers have this value,” về cơ bản entropy đặc điểm. Số càng nhỏ càng tốt, nghĩa là nhiều trình duyệt khác cài đặt y hệt.
Cũng trên bảng thấy độ độc đáo. Hình trên là kết quả test Chrome không cấu hình riêng tư.
Sau chỉnh cài đặt và cài add-on, đạt được (từ Firefox dùng hàng ngày):
Chỉ 1-75.604 trình duyệt trong dữ liệu panopticlick có vân tay giống, tốt hơn nhiều (chưa lý tưởng).
Giải pháp
Điều đầu chọn trình duyệt. Về quyền riêng tư, vài trình duyệt khuyến khích trên hết. Đó là:
1. Tor Browser
Đi kèm add-on quyền riêng tư, mã hóa, proxy nâng cao. Dùng ngay out-of-the-box.
2. Firefox
Chỉnh cấu hình mặc định, cài add-on quyền riêng tư, ổn.
3. Brave
Tự động chặn quảng cáo và tracker, lướt nhanh và an toàn.
Cấu hình trình duyệt tăng quyền riêng tư
2 lựa chọn:
- Con đường dễ: làm theo hướng dẫn đây (chỉ Firefox, tìm cài đặt tương tự Chrome dưới “about:flags”).
- Muốn linh hoạt, cài đặt nhập/xuất, xem dự án ghacks-user.js GitHub (cũng chỉ Firefox). Toàn diện, cần setup, nhưng đáng giá.
Cài add-on bổ sung tăng quyền riêng tư
Đọc phần 6 dưới.
4. Cookies
Có lẽ nghe về cookies web và chúng không tốt (ngay không trang web báo dùng cookie khi truy cập?)
Thực tế cookie chỉ công cụ, chỉ một số cách dùng mới đáng ngại về quyền riêng tư.
Cookie là chuỗi văn bản nhỏ trang web lưu trình duyệt. Không cài đặt gì (chỉ văn bản) và chỉ thấy bởi trang lưu (không trang nào thấy cookie 20 trang khác).
Hơn nữa, cookie gửi kèm mỗi request và đây là nguy cơ tiềm ẩn quyền riêng tư.
Ví dụ: truy cập trang có theme sáng/tối. Mặc định sáng, bạn chọn tối. Bất kỳ lúc vào trang, ngay cả không đăng nhập/đăng ký, hiển thị theme tối.
Trường hợp này, trang có thể lưu cookie theme=dark và khi load trang, cookie gửi server, phục vụ file .css theme tối.
Việc luôn đăng nhập khi mở trang sau reboot cũng nhờ cookie lưu session.
Rủi ro
Ví dụ vô hại, chưa rõ lợi ích từ cookie. Xem ví dụ khác xâm phạm quyền riêng tư:
Xem ví dụ cụ thể.
- User truy cập siteA.com.
- SiteA.com, kiếm tiền, hiển thị quảng cáo từ siteB.com, nhúng mã vào trang.
- Khi siteA.com nhận request User, gửi HTML trang yêu cầu, chứa
- Trình duyệt User nhận HTML từ siteA.com, render trang và request tiếp lấy thứ cần load. Gửi request lấy quảng cáo siteB.com, gửi cookie liên quan siteB.com. Vì chưa cookie, siteB.com chỉ trình duyệt lưu cookie key
__uIdgiá trịabc1.
Cùng lúc, siteB.com tạo hồ sơ database với IDabc1, thu thập dữ liệu User. Nhờ header Referer, chứa URL khởi tạo request. Tại đây, Referer Header giá trịwww.siteA.com. - Sau thời gian (hoặc ngay sau siteA.com) User vào siteC.com.
- SiteC.com, hoàn toàn không liên quan siteA.com, hiển thị quảng cáo cùng công ty (siteB.com).
- Trình duyệt nhận HTML siteC.com, request lấy quảng cáo siteB.com, lần này tự động gửi cookie
__uId=abc1đến siteB.com, ID duy nhất User. Cùng Referer Header giờ giá trịwww.siteC.com, báo siteB.com User đã trong database. Cập nhật hồ sơ với trang mới truy cập, siteC.com.
Và như vậy, từng chút, công ty quảng cáo thu thập hàng tấn dữ liệu hoạt động online.
Giải pháp
3 lựa chọn:
- Vô hiệu hóa hoàn toàn cookie (sẽ làm hỏng trang, không chạy). Làm trong cài đặt trình duyệt;
- Giới hạn cookie "first party", chỉ trang đang truy cập ghi cookie, không cookie "third-party" từ công ty quảng cáo (vẫn làm hỏng ít trang). Cũng làm trong cài đặt;
- (Khuyên dùng) Cài add-on xử lý cookie, quy tắc tùy chỉnh mỗi trang (cần setup, nhưng linh hoạt nhất).
Khuyến nghị add-on ở cuối bài.
5. Scripts (Kịch bản)
Nguồn: pixabay.com
Buồn thay, câu "权力大责任大" không phổ biến trong công ty hiện nay…
JavaScript là khối xây dựng thiết yếu web vì cung cấp khả năng nhiều việc. Xây game, tương tác, animation, và vô số điều cool trên trang.
JavaScript cũng lấy kích thước màn hình, mức pin (laptop), danh sách addon trình duyệt và thông tin khác nhận diện bạn.
Rủi ro
Trên nhiều trang, chủ trang nhúng script công ty quảng cáo kiếm tiền. Khi load trang, trình duyệt load script thứ ba. Script đó trích thông tin nhận diện tiềm ẩn và gửi cho công ty quảng cáo cùng hành động trên trang.
Trong nhiều loại thông tin JS lấy về trình duyệt, Canvas Fingerprint mạnh nhất, cung cấp entropy cao nhất. Vì vài yếu tố biến đổi lớn như GPU, driver đồ họa, OS, trình duyệt, đóng góp tạo nó.
Và như vậy, từng chút, công ty thu thập thông tin hành động, trang truy cập, nhấp chuột, tạo hồ sơ số dựa trên đó phục vụ quảng cáo riêng. Điều chỉnh thêm bởi hành động liên tục trên Internet.
Giải pháp
Vô hiệu hóa JavaScript không giải pháp, vì không dùng được nửa trang web. Nhưng có thể chặn script từ vendor cụ thể để không load với trang, chặn request đến công ty quảng cáo với thông tin nhận diện. Có vài add-on mô tả phần 6.
6. Khác và Add-ons
Các bước trên nền tảng quyền riêng tư online, nhưng đáng tiếc không đủ – vẫn còn đủ mảnh thông tin trang thu thập xây dựng hồ sơ số.
Phần này liệt kê add-on cơ bản cho Firefox Quantum (phiên bản ≥ 57) lướt an toàn. Nếu chọn trình duyệt khác, tìm替代 trong danh sách add-on của họ.
Lưu ý không phải danh sách đầy đủ, thoải mái thêm gợi ý comment. Cũng, tính năng có thể có trong nhiều add-on, đa số không xung đột, nhưng nhận thức đôi khi không hoạt động. Khuyên cài từng cái, load vài trang test hoạt động.
Bắt đầu:
1. Cookies
Nhiều add-on loại này. Tôi dùng Cookie AutoDelete, bạn có thể thích cái khác. Kích hoạt xóa cookie khi đóng trình duyệt, hoặc sau thời gian định trước.
Vậy trang và nhà quảng cáo không dễ theo dõi cookie, vì đối với họ bạn như visitor mới mỗi lần truy cập. Mặt kém của "dao quyền riêng tư" là phải đăng nhập mỗi lần mở trình duyệt, vì session cookie cũng bị xóa.
Hơi phiền, nhưng không ai nói dễ dàng.
2. Script Blockers (Chặn script)
Vài add-on phổ biến chặn script theo dõi không cần (không thứ tự): uMatrix, NoScript, uBlock Origin, AdBlock, v.v.
Hai cái đầu linh hoạt hơn, nhưng cần học và setup. Mặc định "làm hỏng" nhiều trang, vì chặn tất cả script, cần định nghĩa quy tắc cho phép/chặn. Tôi dùng cả NoScript và uMatrix nhưng thích uMatrix (hiện dùng).
uBlock và AdBlock tốt nếu không muốn học cách hoạt động, chỉ muốn lướt an toàn. Chạy out-of-the-box, nhưng đôi khi ít quyền riêng tư hơn uMatrix/NoScript.
3. User Agent
Cũng nhiều add-on chuyển đổi header User Agent (thông tin OS và trình duyệt).
Vấn đề: nhiều phiên bản OS/trình duyệt, header này thành nguồn thông tin hữu ích cho ai muốn nhận diện bạn.
Nguồn: amiunique.org
Nguồn: amiunique.org
Bên trái phân bố phiên bản Firefox trong dữ liệu amiunique.org, bên phải phân bố Chrome.
Không có yêu thích mạnh cho tính năng. Hiện dùng User Agent Switcher, vì cho đặt giá trị tùy chỉnh User Agent header và chế độ random chuyển đổi user agent theo thời gian.
4. Duyệt web mã hóa (Encrypted Browsing)
Bạn nhận thấy URL bắt đầu https:// và https://? HTTP là HyperText Transfer Protocol, giao thức định nghĩa máy tính giao tiếp Internet.
Thêm Secure cuối, biết HTTPS. Khi truy cập trang https://, nội dung request mã hóa, rất khó hiểu gửi gì nếu chặn request.
Buồn thay, không phải trang tự chuyển HTTP sang HTTPS, làm lướt net nhìn thấy cho ai chặn traffic.
May mắn, HTTPS Everywhere giải quyết, tự chuyển phiên bản mã hóa (nếu có).
5. Canvas Fingerprinting
Hai giải pháp canvas fingerprinting:
- Chặn mọi lần truy cập API này.
- Thay đổi vân tay kết quả mỗi lần truy cập.
Lâu dài, tùy chọn 1 tốt, vì không cung cấp thông tin thêm. Tuy nhiên, vì ít người nhận biết và chặn canvas API, sự thiếu vân tay canvas trong trình duyệt bản thân là thông tin nhận diện bạn.
Tùy chọn 2: thay đổi vân tay canvas và đổi thỉnh thoảng, mỗi lần vân tay khác, như người khác lướt.
Mục đích này CanvasBlocker khá tốt. Có cả hai tùy chọn, tùy bạn chọn.
6. Referer Header (không có 'r' kép)
Header gửi kèm mỗi request, chỉ request từ đâu (trang nào giới thiệu trang yêu cầu). Dùng theo dõi điều hướng online, xem truy cập trang nào từ trang nào.
Nhưng có thể thay đổi ẩn tuyến đường điều hướng cho mắt bạn (hoặc ai dùng máy).
Nếu dùng uMatrix, có sẵn Referer Header spoofing. Không thì tìm "referer spoof" add-on trình duyệt chọn cái.
7. Link Cleaner (Dọn link)
Referer Header cách nâng cao biết người từ đâu, nhưng cách phổ biến theo dõi tương tác là tham số Query String. Phần URL sau ký tự ? chứa dữ liệu loại khác.
Link: _https://meyerweb.com/eric/thoughts/2017/03/07/welcome-to-the-grid/?utm_source=frontendfocus&utm_medium=email&page=2_
Cap key=value bên phải ? là query parameter. Khi nhấp link, giá trị query parameter gửi server.
Bao giờ thắc mắc utm_medium và utm_* liên quan trong URL nghĩa gì? Liên quan Google Analytics.
Không phải query parameter đều xâm phạm quyền riêng tư. Một số cần thiết trang hoạt động (ví dụ tham số page).
Dùng Link Cleaner xóa hầu hết query parameter dùng theo dõi.
Các bước tiếp theo
Nguồn: pixabay.com
Tôi cố gắng bao quát khía cạnh chính quyền riêng tư online đặt nền tảng cho điều tra, học thêm.
Nhưng quyền riêng tư quá nhiều, khó bao quát một bài, có điều chưa nhắc. Thoải mái thêm comment để người muốn học thêm có cơ hội!
Cũng, chủ yếu tập trung lướt an toàn trên Internet, nhưng quyền riêng tư nên xem xét mỗi dịch vụ online dùng hàng ngày, bao gồm email, chia sẻ file, v.v.
Và nhớ: Chia sẻ thông tin có ý thức khác hoàn toàn với thu thập thông tin nhạy cảm без tri thức và đồng ý.
Giữ riêng tư!
Link hữu ích
PrivacyTools — tài nguyên toàn diện quyền riêng tư. Chứa link, khuyến nghị nhà cung cấp dịch vụ.
BrowserLeaks — phân tích trình duyệt nhiều chiều quyền riêng tư, bao gồm IP, canvas fingerprinting, Flash, v.v.
Panopticlick — kiểm tra an toàn trình duyệt chống theo dõi, báo cáo điều tiết lộ thông tin nhiều nhất.
AmIUnique —替代 Panopticlick. Có thống kê chung dữ liệu.
Firefox Hardware Report — báo cáo hàng tuần phần cứng mẫu đại diện dân số Internet.
Screen Resolution tracking — luồng thú vị kích thước màn hình/trình duyệt làm hỏng.
Firefox thông minh hơn về Third-Party Cookies.
Nếu bài hữu ích, hãy clap để người khác học quyền riêng tư online. Cảm ơn!
Học lập trình miễn phí. Chương trình mã nguồn mở của freeCodeCamp đã giúp hơn 40.000 người tìm được việc làm với tư cách là nhà phát triển. Bắt đầu ngay