Ngụy trang dấu vân tay trình duyệt là gì?

Tại sao Danh tính Dấu vân tay Cần một Quan điểm Hệ thống

Giả mạo dấu vân tay trình duyệt ảnh hưởng đến cách mà các trình duyệt tiết lộ trạng thái, hiển thị nội dung, hoặc quyết định khi nào một hành động tự động là an toàn. Một định nghĩa chính xác ngăn các nhóm coi một tín hiệu hẹp như là một câu trả lời chung. Nó cũng làm cho việc chẩn đoán lỗi kiểm tra dễ dàng hơn vì hành vi trình duyệt mong đợi được liên kết với một chu kỳ tài liệu, API, hoặc ranh giới hệ thống.

Đối với tự động hóa web, câu hỏi thực tiễn luôn hẹp hơn câu hỏi “liệu trang đã sẵn sàng?” hoặc “liệu trình duyệt trông có thực không?” Bước tiếp theo có thể cần một điều khiển được kích hoạt, một khung hoàn tất điều hướng, một thành phần gắn cây nội bộ của nó, hoặc một bề mặt kết xuất giữ sự nhất quán. Các phần dưới đây biến khái niệm thành các kiểm tra có thể quan sát thay vì dựa vào truyền thuyết.

Giả mạo Dấu Vân Tay Trình Duyệt Bằng Tiếng Anh Thông Dụng

Giả mạo dấu vân tay trình duyệt là việc thay đổi có kiểm soát các giá trị mà một trang web có thể quan sát về trình duyệt, hệ điều hành, thiết bị hoặc môi trường hiển thị. Một trang có thể kết hợp những giá trị đó thành một dấu vân tay giúp nó nhận diện một môi trường trở lại ngay cả khi không có cookie thông thường nào có sẵn. Giả mạo thay đổi một số đầu vào trước khi chúng được quan sát, với mục đích thể hiện một hồ sơ được chọn thay vì hồ sơ gốc của máy chủ.

Sự phân biệt giữa dấu vân tay và một định danh lưu trữ là quan trọng. Một cookie là trạng thái được ghi vào trình duyệt. Một dấu vân tay được suy ra từ các đặc điểm mà trình duyệt đã xuất hiện hoặc tạo ra. Hướng dẫn về dấu vân tay W3C định nghĩa fingerprinting là xác định hoặc xác định lại một người dùng, tác nhân người dùng, hoặc thiết bị thông qua các cài đặt cấu hình và các đặc điểm có thể quan sát khác. Bởi vì định danh được suy ra, việc xóa bộ nhớ lưu trữ của trang web một mình không nhất thiết làm thay đổi các đầu vào.

Spoofing có thể hỗ trợ nghiên cứu về quyền riêng tư, đảm bảo chất lượng khu vực và phản hồi, kiểm tra hệ thống gian lận với quyền truy cập, và tự động hóa trình duyệt phải tái tạo một môi trường khách hàng đã biết. Kỹ thuật tương tự có thể bị lạm dụng. Do đó, thực hành tốt bắt đầu với sự cho phép, dữ liệu công khai hoặc được ủy quyền, tỷ lệ yêu cầu giới hạn, và một mục tiêu kiểm tra rõ ràng. Danh tính trình duyệt đã được chỉnh sửa là sự kiểm soát môi trường, chứ không phải quyền truy cập.

Các tín hiệu nào có thể bị giả mạo?

Bề mặt hiển thị trải rộng qua nhiều lớp. Tiêu đề yêu cầu có thể tiết lộ một gia đình trình duyệt, ngôn ngữ được chấp nhận và gợi ý nền tảng. JavaScript có thể đọc kích thước màn hình, độ sâu màu, tỷ lệ pixel của thiết bị, múi giờ, ngôn ngữ địa phương, độ trễ phần cứng, khả năng nhập liệu và hỗ trợ phương tiện. Canvas, WebGL và Web Audio có thể tạo ra các đầu ra bị ảnh hưởng bởi ngăn xếp phần mềm và phần cứng. Phông chữ, quyền hạn, hành vi lưu trữ và hỗ trợ tính năng cung cấp thêm ngữ cảnh.

I'm sorry, but it seems there was an error with the text you wanted translated. Please provide the text again. Định nghĩa của MDN về việc đánh dấu vân tay trình duyệt tách biệt các quan sát thụ động khỏi việc thu thập tích cực mà chạy mã trong trang. Sự phân tách đó giải thích tại sao một công cụ chỉ có tiêu đề không thể tái tạo một danh tính trình duyệt đầy đủ. Nó có thể căn chỉnh yêu cầu mạng trong khi để lại một tập hợp giá trị khác mà JavaScript có thể nhìn thấy. Ngược lại, việc thay đổi các thuộc tính JavaScript mà không căn chỉnh các gợi ý của HTTP client có thể tạo ra sự không phù hợp ngược lại.

Một cấu hình dấu vân tay trưởng thành coi những trường này như một hồ sơ. Gia đình trình duyệt giới hạn hỗ trợ tính năng khả thi. Hệ điều hành giới hạn chuỗi nền tảng và phông chữ phổ biến. Kích thước màn hình, tỉ lệ pixel, hỗ trợ cảm ứng và loại con trỏ nên mô tả một lớp thiết bị. Ngôn ngữ địa phương, múi giờ, định vị địa lý và vùng outbound nên kể một câu chuyện địa lý tương thích. Giá trị nhà cung cấp đồ họa và trình kết xuất nên phù hợp với hệ điều hành và bản dựng trình duyệt mà chúng phơi bày.

Sự nhất quán quan trọng hơn độ ngẫu nhiên tối đa

Việc ngẫu nhiên hóa mọi giá trị trên mọi phương thức điều hướng hiếm khi tạo ra một môi trường đáng tin cậy. Các thiết bị thực tế có sự biến đổi trong một quần thể nhưng thường ổn định trong một phiên. Một trình duyệt báo cáo một kích thước màn hình mới, ngăn đồ họa, danh sách ngôn ngữ và hình dạng bộ xử lý trên mỗi lần xem trang trông ít giống như một người đang thay đổi thiết bị và nhiều hơn như một thiết bị đo lường đang thay đổi các giá trị.

Sự nhất quán có hai khía cạnh. Sự nhất quán nội bộ có nghĩa là các giá trị quan sát được tại một thời điểm đồng ý với nhau. Sự nhất quán tạm thời có nghĩa là các giá trị duy trì độ ổn định phù hợp qua các lần truy cập liên quan. Một phiên đăng nhập, mở bảng điều khiển và tải xuống một báo cáo thường nên giữ một hồ sơ duy nhất. Một ma trận thử nghiệm mà cố ý bao quát máy tính để bàn, máy tính bảng và di động có thể tạo ra các phiên tách biệt, mỗi phiên có hồ sơ nhất quán riêng của nó.

Phương pháp đánh giá mạnh nhất là săn lùng mâu thuẫn. So sánh tác nhân người dùng với nền tảng và hỗ trợ tính năng. So sánh viewport với kích thước màn hình và tỷ lệ điểm ảnh thiết bị. So sánh ngôn ngữ với múi giờ và khu vực xuất cảnh. So sánh thông tin nhà cung cấp WebGL với nền tảng được tuyên bố. So sánh các điểm chạm với các truy vấn phương tiện con trỏ và hover. Mỗi cặp dễ bị bỏ qua khi các giá trị được thiết lập độc lập.

Giả mạo, Chặn và Tiêu chuẩn hóa

Giả mạo thay đổi giá trị, chặn ngăn chặn truy cập vào tín hiệu, và tiêu chuẩn hóa khiến nhiều người dùng phơi bày cùng một giá trị. Những phương pháp này có các thỏa hiệp khác nhau. Chặn đọc canvas có thể bảo vệ một bề mặt nhưng có thể phá vỡ các ứng dụng vẽ hoặc làm cho sự vắng mặt trở nên không bình thường. Ngẫu nhiên có thể giảm khả năng liên kết nhưng có thể tạo ra đầu ra không ổn định. Các giá trị tiêu chuẩn hóa có thể mở rộng tập ẩn danh vì nhiều trình duyệt trông giống nhau.

Cái Tài liệu thiết kế Tor Browser nhấn mạnh vào tính không liên kết giữa các nguồn gốc và hồ sơ trình duyệt chung thay vì sự biến đổi vô tận theo từng trường. Bài học thiết kế đó được áp dụng vào tự động hóa: ít hồ sơ đồng nhất hơn thì dễ lý luận hơn là một tập hợp các ghi đè không liên quan. Một hồ sơ nên được chọn như một đơn vị, được kiểm tra như một đơn vị, và chỉ được thay đổi tại một ranh giới xác định.

Không có phương pháp nào cung cấp sự đảm bảo toàn cầu. Một trang web có thể kết hợp tín hiệu trình duyệt với lịch sử tài khoản, uy tín IP, hành vi TLS, thời gian tương tác, hoặc quan sát từ phía máy chủ. Việc giả mạo dấu vân tay do đó là một lớp trong chiến lược môi trường. Nó không thể bù đắp cho danh tính mạng mâu thuẫn, hành vi người dùng không thể đạt được, quyền truy cập không hợp pháp, hoặc logic tự động hóa dễ bị đổ vỡ.

Một Quy Trình Thực Tiễn cho Tự Động Hóa Được Ủy Quyền

Bắt đầu bằng việc xác định yêu cầu thực sự. Kiểm tra đáp ứng có thể chỉ cần hồ sơ viewport, màn hình và tỷ lệ điểm ảnh. Kiểm tra địa phương hóa có thể cần địa điểm, ngôn ngữ, múi giờ và định tuyến khu vực. Một tác vụ trình duyệt kéo dài có thể cần một hồ sơ ổn định cho suốt phiên. Tránh thay đổi các API có entropy cao trừ khi tác vụ phụ thuộc vào chúng và các giá trị kết quả có thể được xác thực.

Tiếp theo, chọn một cơ sở đồng nhất và xác nhận nó như là cấu hình có cấu trúc. Giữ lại gia đình trình duyệt, hệ điều hành, loại thiết bị, địa phương, múi giờ, và hình học màn hình lại với nhau. Tạo một phiên mới cho một danh tính khác biệt đáng kể thay vì biến đổi phiên hoạt động giữa chừng trong một quy trình. Quan sát trang từ bên trong trình duyệt, vì các tiêu đề của máy chủ một mình không thể hiện những gì JavaScript thấy.

Cuối cùng, xác minh hành vi thay vì giả định rằng một ghi đè thuộc tính đã hoạt động. Đọc lại các giá trị đã phơi bày, kiểm tra bố cục đáp ứng, xác nhận ngôn ngữ và múi giờ dự kiến, và kiểm tra xem đầu ra canvas hoặc WebGL có duy trì ổn định nơi cần thiết hay không. Giữ kết quả liên kết với phiên bản hồ sơ. Khi một động cơ trình duyệt được cập nhật, hãy chạy lại các kiểm tra vì hỗ trợ tính năng và hành vi kết xuất có thể thay đổi.

Các Mẫu Thất Bại Phổ Biến

Thất bại phổ biến nhất là một sự hoán đổi tác nhân người dùng cạn. Nó thay đổi một chuỗi dễ nhận diện trong khi để lại phần còn lại của môi trường không bị động chạm. Một ví dụ khác là sự trôi hồ sơ: các giá trị thay đổi giữa các trang trong cùng một tác vụ. Một ví dụ thứ ba là quá mức, nơi một cấu hình bắt chước một dấu vân tay đã quan sát duy nhất đến mức mà nhiều phiên chia sẻ một danh tính không thể tin được giống hệt nhau.

Vô hiệu hóa các API chính cũng có thể phản tác dụng. Một trình duyệt bình thường hỗ trợ canvas, WebGL, âm thanh, lưu trữ, và các tính năng bố cục hiện đại. Việc loại bỏ những khả năng đó có thể phá vỡ trang mục tiêu và làm giảm sự tương đồng của hồ sơ với gia đình trình duyệt được tuyên bố. Các giá trị được kiểm soát hoặc đầu ra tiêu chuẩn hóa thường dễ duy trì hơn là một danh sách ngày càng tăng của các giao diện bị chặn.

Hành vi vận hành vẫn quan trọng. Một dấu vân tay đồng nhất không thể làm cho một mẫu yêu cầu không giới hạn giống với việc sử dụng bình thường. Giữ cho sự đồng thời thích hợp với máy chủ, chờ trạng thái trang có ý nghĩa, tái sử dụng các phiên chỉ khi quy trình làm việc yêu cầu tính liên tục, và coi các thách thức truy cập như một tín hiệu để xem xét ủy quyền và cấu hình. Công việc về dấu vân tay nên giảm thiểu sự không nhất quán tình cờ, không che giấu hành vi lạm dụng.

Xây dựng một Hồ Sơ Trình Duyệt Đồng Nhất

Bắt đầu với điều kiện hoặc cấu hình nhỏ nhất chứng minh rằng tác vụ có thể tiến hành. Bảo tồn hành vi trình duyệt tương thích với tiêu chuẩn, sau đó chỉ thêm các điều khiển hồ sơ nơi quy trình làm việc yêu cầu chúng. Ghi lại bản xây dựng trình duyệt và trạng thái liên quan để các khác biệt sau này có thể được giải thích. Một quan sát có thể lặp lại có giá trị hơn so với một tuyên bố rộng rằng một trang, khung, hiển thị, hoặc dấu vân tay chỉ đơn giản là “hoàn thành” hoặc “an toàn.”

• Định nghĩa hành động tiếp theo. Nêu rõ những gì kịch bản hoặc người dùng cần làm sau bước chờ hoặc cấu hình.
• Chọn một tín hiệu quan sát được. Ưu tiên thuộc tính trình duyệt, trạng thái vòng đời, điều kiện phần tử, hoặc kết quả kết xuất mà hỗ trợ trực tiếp cho hành động đó.
• Giữ cho các giá trị liên quan đồng nhất. Trình duyệt, hệ điều hành, màn hình, địa phương, đồ họa, và cài đặt phiên nên mô tả một môi trường khả thi.
• Xác thực hành vi ứng dụng bình thường. Một can thiệp về quyền riêng tư hoặc tự động hóa không nên âm thầm phá vỡ API hoặc thành phần mà nó thay đổi.
• Ghi lại bằng chứng chẩn đoán. Lưu lại các URL, trạng thái, tin nhắn trên bảng điều khiển, và tên cấu hình liên quan khi một kiểm tra thất bại.

Kết luận

Giả mạo dấu vân tay trình duyệt được hiểu tốt nhất như là cấu hình môi trường: nó thay đổi các tín hiệu trình duyệt có thể quan sát được để phiên làm việc trình bày một hồ sơ có chủ ý, nhất quán. Các triển khai hữu ích căn cứ vào tiêu đề, thuộc tính JavaScript, bề mặt hiển thị, tín hiệu vị trí và thời gian phiên làm việc. Bài kiểm tra thực tế không phải là liệu mỗi giá trị có thay đổi hay không, mà là liệu các giá trị có đồng ý và giữ ổn định cho quy trình làm việc sử dụng chúng.

Cái Tài liệu về Trình duyệt Cạo không rác giải thích cách các phiên trình duyệt được quản lý được cấu hình, trong khi đó Tổng quan sản phẩm Trình duyệt Cạo mô tả bề mặt tự động hóa trình duyệt. Những tài nguyên này cung cấp ngữ cảnh sản phẩm để áp dụng khái niệm trong một quy trình làm việc được ủy quyền.

Tài liệu tham khảo

• Tài liệu hướng dẫn bắt đầu Trình duyệt Cạo không rác
• Tổng quan sản phẩm Trình duyệt Cạo không rác
• Hướng dẫn tùy chỉnh dấu vân tay trình duyệt không rác
• Các dự án mã nguồn mở không rác trên GitHub