Dấu vân tay trình duyệt là gì

Dấu vân tay trình duyệt là mã định danh entropy cao được xây dựng từ các thuộc tính mà trình duyệt tiết lộ cho bất kỳ JavaScript nào đang chạy. Các kỹ thuật cơ bản chia thành một số nhóm, mỗi nhóm đóng góp entropy vào dấu vân tay kết hợp.

Dấu vân tay canvas

Phần tử canvas của HTML5 render đồ họa theo những cách hơi khác nhau tùy thuộc vào GPU bên dưới, driver, hệ điều hành và hệ thống con phông chữ. Vẽ một chuỗi cố định với một phông chữ cụ thể, sau đó băm dữ liệu pixel kết quả, tạo ra một mã định danh thay đổi theo thiết bị nhưng ổn định qua các phiên trên cùng một thiết bị. Dấu vân tay canvas là ví dụ chính tắc và kỹ thuật được trích dẫn nhiều nhất trong các hành động thực thi.

Dấu vân tay âm thanh

API AudioContext xử lý tín hiệu âm thanh qua cùng loại pipeline phần cứng và phần mềm như đồ họa, và đầu ra kết quả thay đổi theo cách tạo ra entropy. Chạy một bộ dao động đã biết qua bộ nén và băm kết quả tạo ra một mã định danh ổn định cho từng thiết bị.

Liệt kê phông chữ

Các hệ điều hành và hồ sơ người dùng khác nhau có các bộ phông chữ đã cài đặt khác nhau. Kiểm tra sự hiện diện hay vắng mặt của phông chữ — bằng cách đo số liệu văn bản cho danh sách phông chữ ứng viên — tạo ra một mã định danh đặc biệt phân biệt cho người dùng đã tùy chỉnh bộ phông chữ của họ.

Dấu vân tay WebGL

WebGL tiết lộ khả năng GPU và hành vi render. Sự kết hợp của chuỗi nhà cung cấp, chuỗi renderer và render của một cảnh cố định tạo ra một mã định danh entropy cao khác.

Siêu dữ liệu mạng và thiết bị

Ngoài các kỹ thuật thăm dò chủ động, dấu vân tay thường kết hợp siêu dữ liệu thụ động: chuỗi User-Agent, tùy chọn ngôn ngữ, múi giờ, độ phân giải màn hình, độ sâu màu, bộ nhớ có sẵn, bộ xử lý có sẵn, trạng thái pin và dấu vân tay TLS ở lớp kết nối. Mỗi mục thêm entropy theo riêng lẻ và kết hợp nhân với các mục khác.

Các cơ quan quản lý đối xử với dấu vân tay như thế nào

Phân tích pháp lý đơn giản về mặt phác thảo nhưng khó hơn trong thực tế. Dấu vân tay nhận dạng người dùng tạo ra dữ liệu cá nhân theo định nghĩa của GDPR, và việc đọc hoặc truy cập thông tin đã được lưu trữ trên thiết bị thuộc Article 5(3) của Chỉ thị ePrivacy — quy định tương tự điều chỉnh cookie. Cả Article 5(3) và GDPR đều yêu cầu sự đồng ý trước cho việc theo dõi không cần thiết. Nơi luật pháp vượt ra ngoài cookie là ePrivacy Article 5(3) bao gồm «việc lưu trữ thông tin, hoặc đạt được quyền truy cập vào thông tin đã được lưu trữ, trong thiết bị đầu cuối của thuê bao hoặc người dùng» — ngôn ngữ đủ rộng để bao gồm việc thăm dò trạng thái thiết bị mà việc lấy dấu vân tay phụ thuộc vào.

EDPB đã xác nhận cách đọc này trong hướng dẫn năm 2023 về việc áp dụng Article 5(3) cho việc theo dõi không dùng cookie, và CNIL là cơ quan thực thi tích cực nhất: một số khoản phạt năm 2024 đã trích dẫn các thư viện lấy dấu vân tay hoạt động trước khi có sự đồng ý là vi phạm chính. Tuyên bố năm 2024 của ICO UK về theo dõi còn trực tiếp hơn trong việc đóng khung canvas, âm thanh và các dấu vân tay tương tự là yêu cầu sự đồng ý opt-in ngang bằng với cookie.

Vùng xám: Phòng chống gian lận và theo dõi

Trường hợp sử dụng dấu vân tay được tranh luận nhiều nhất là phòng chống gian lận. Phát hiện bot, phòng thủ chiếm quyền điều khiển tài khoản và kiểm tra gian lận thanh toán đều dựa vào dấu vân tay thiết bị như một tín hiệu cốt lõi. Các cơ quan quản lý đã thừa nhận rằng một số xử lý này có thể được biện minh dưới lợi ích hợp pháp thay vì sự đồng ý — nhưng tiêu chuẩn cao và phạm vi hẹp. Lập trường của CNIL, được các DPA khác lặp lại, là:

• Phòng chống gian lận hoàn toàn cần thiết trên tài sản của bên thứ nhất có thể tiến hành dưới lợi ích hợp pháp, với tài liệu thích hợp trong đánh giá lợi ích hợp pháp (LIA).
• Việc sử dụng hành vi hoặc quảng cáo của cùng dấu vân tay đó yêu cầu sự đồng ý và không thể dựa vào cơ sở phòng chống gian lận.
• Chia sẻ dấu vân tay với bên thứ ba cho bất kỳ mục đích nào thường nằm ngoài phạm vi lợi ích hợp pháp và yêu cầu sự đồng ý.
• Lưu trữ dấu vân tay liên tục ngoài việc kiểm tra gian lận ngay lập tức thường yêu cầu sự đồng ý hoặc lập trường lợi ích hợp pháp được soạn thảo rất chặt chẽ.

Hệ quả thực tế là nhà xuất bản chạy cả dấu vân tay phòng chống gian lận và dấu vân tay ad-tech không thể dựa vào cơ sở gian lận để bao gồm cả hai. Hai luồng phải được tách biệt về mặt kiến trúc, với luồng ad-tech được chặn đằng sau sự đồng ý và luồng phòng chống gian lận bị giới hạn ở mục đích đã ghi chép của nó.

Cách xử lý dấu vân tay trong CMP

Mẫu tích hợp cho dấu vân tay tương tự như các kỹ thuật theo dõi khác nhưng cần thêm sự cẩn thận vì sự vắng mặt của bộ nhớ rõ ràng khiến ranh giới sự đồng ý dễ bỏ lỡ hơn.

1. Kiểm kê bề mặt dấu vân tay

Kiểm tra trang web về bất kỳ script nào gọi canvas toDataURL(), xử lý dựa trên AudioContext, thăm dò phông chữ qua đo số liệu văn bản hoặc truy vấn renderer WebGL. Những lời gọi này thường được chôn trong các thư viện bên thứ ba — SDK ad-tech, nhà cung cấp chống gian lận, công cụ kiểm tra A/B — và không hiển thị ngay lập tức.

2. Phân loại từng mục đích sử dụng dấu vân tay

Đối với mỗi thư viện lấy dấu vân tay, hãy ghi lại liệu nó là (a) hoàn toàn cần thiết cho trang web hoạt động, (b) biện pháp phòng chống gian lận dưới lợi ích hợp pháp, hay (c) để theo dõi, phân tích hoặc quảng cáo. Các danh mục (a) và (b) có thể tiến hành mà không cần sự đồng ý rõ ràng dưới các cơ sở đã ghi chép; danh mục (c) yêu cầu opt-in.

3. Chặn dấu vân tay mục đích theo dõi

Đối với các thư viện thuộc danh mục (c), CMP nên coi chúng giống hệt cookie tiếp thị: script nằm trong DOM nhưng không hoạt động cho đến khi khách truy cập chấp nhận danh mục tiếp thị. Hầu hết các CMP hiện đại đã hỗ trợ điều này qua mẫu type="text/plain" + thuộc tính danh mục tiêu chuẩn.

4. Ghi lại cơ sở lợi ích hợp pháp cho dấu vân tay phòng chống gian lận

Khi dấu vân tay tiến hành dưới lợi ích hợp pháp, LIA phải cụ thể, cập nhật và phản ánh phạm vi xử lý thực tế. «Phòng chống gian lận» chung chung là không đủ — LIA cần xác định dữ liệu nào được xử lý, được lưu giữ trong bao lâu, biện pháp bảo vệ nào được áp dụng và kỳ vọng thực tế của người dùng là gì.

5. Cung cấp opt-out có ý nghĩa cho các luồng lợi ích hợp pháp

Ngay cả khi dấu vân tay phòng chống gian lận tiến hành mà không cần sự đồng ý, Article 21 của GDPR cấp cho người dùng quyền phản đối việc xử lý lợi ích hợp pháp. CMP phải làm nổi bật quyền này, và việc triển khai kỹ thuật phải thực sự dừng việc lấy dấu vân tay khi quyền được thực thi — không chỉ ghi lại sự phản đối trong khi tiếp tục lấy dấu vân tay.

Danh sách kiểm tra kiểm toán

Sáu câu hỏi cụ thể cần trả lời cho bất kỳ trang web nào có thể đang phơi bày các bề mặt dấu vân tay.

1. Tính đầy đủ của kiểm kê

Nhóm bảo mật đã tạo ra danh sách hiện tại của mọi thư viện thực hiện thăm dò canvas, âm thanh, phông chữ, WebGL hoặc siêu dữ liệu thiết bị chưa? Nếu câu trả lời là «chúng tôi không chắc», kiểm toán không thể tiến hành.

2. Phân loại cơ sở

Đối với mỗi thư viện, có cơ sở pháp lý được ghi chép không (sự đồng ý, lợi ích hợp pháp với LIA, tính cần thiết theo hợp đồng)? Các cơ sở không được ghi chép về mặt thực tế là vắng mặt theo trách nhiệm giải trình.

3. Chặn sự đồng ý

Các thư viện dấu vân tay mục đích theo dõi có được chặn đằng sau danh mục sự đồng ý tiếp thị, với script không thể chạy trước khi chấp nhận không?

4. Tính mới của LIA

Các đánh giá lợi ích hợp pháp có được ghi ngày trong 12 tháng qua không, và chúng có phản ánh phạm vi xử lý hiện tại thực tế thay vì mô tả cũ không?

5. Thực thi opt-out

Khi người dùng thực thi Article 21, hệ thống có thực sự dừng dấu vân tay lợi ích hợp pháp không, hay chỉ ghi lại sự phản đối?

6. Dọn dẹp giữa các nhà cung cấp

Nếu dấu vân tay được chia sẻ với bên thứ ba (mạng quảng cáo, nhà cung cấp phân bổ, nhà cung cấp danh tính), liệu việc chia sẻ đó có được bao gồm bởi sự đồng ý riêng biệt và được tiết lộ trong thông báo quyền riêng tư không?

Dấu vân tay đứng ở đâu trong tương lai của việc theo dõi

Các nhà cung cấp trình duyệt đang tích cực làm việc để giảm entropy có sẵn cho các thư viện dấu vân tay. ITP của Apple, bảo vệ tích hợp của Firefox và các đề xuất Google Privacy Sandbox đều làm giảm bề mặt cơ bản. Tuy nhiên, không có sự can thiệp nào trong số đó loại bỏ vấn đề quy định — ngay cả dấu vân tay với entropy giảm vẫn là dữ liệu cá nhân khi nó thành công trong việc nhận dạng người dùng, và việc giảm tỷ lệ thành công không thay đổi phân tích pháp lý khi nó hoạt động. Đối với các nhà xuất bản, giả định an toàn hơn là dấu vân tay sẽ tiếp tục là một kỹ thuật thực sự, liên quan đến kiểm toán trong 24 tháng tới, rằng các cơ quan quản lý sẽ tiếp tục coi nó tương đương với cookie cho mục đích sự đồng ý, và rằng câu trả lời vận hành đúng đắn là coi dấu vân tay như bất kỳ bề mặt theo dõi nào khác: được kiểm kê, được phân loại theo mục đích, được chặn bởi sự đồng ý khi cần thiết và được ghi chép kỹ lưỡng khi nó tiến hành trên cơ sở khác.