PHẦN 1 — TIẾNG VIỆT

Canvas fingerprint là gì? Cách website nhận diện bạn qua canvas

 Canvas fingerprint biến một bức vẽ vô hình trong trình duyệt thành mã định danh gần như duy nhất cho mỗi thiết bị.

Canvas fingerprint là dấu vân tay thiết bị được tạo ra từ cách trình duyệt của bạn vẽ một hình ảnh ẩn bằng HTML5 Canvas — website chỉ cần băm kết quả đó thành một mã để nhận ra bạn, không cần cookie.

Canvas fingerprint là một kỹ thuật nhận diện thiết bị dựa trên cách trình duyệt render (vẽ) một đoạn văn bản hoặc hình ảnh ẩn bằng HTML5 Canvas. Mỗi máy tính vẽ ra các điểm ảnh hơi khác nhau — do GPU, driver, font và hệ điều hành — nên website chỉ cần băm kết quả đó thành một chuỗi là đã có một mã theo dõi bạn, ngay cả khi bạn đã xoá cookie hoặc dùng chế độ ẩn danh. Bài viết này giải thích từ đầu, không cần nền tảng kỹ thuật.

Mục lục

● Canvas fingerprint là gì?

● Canvas fingerprinting hoạt động như thế nào?

● Vì sao mỗi thiết bị lại có canvas fingerprint khác nhau?

● Website dùng canvas fingerprint để làm gì?

● Canvas fingerprint khác cookie ở điểm nào?

● Làm sao kiểm tra và chống canvas fingerprint?

● Câu hỏi thường gặp

Canvas fingerprint là gì?

Canvas fingerprint là mã định danh được tạo ra từ cách trình duyệt của bạn vẽ một hình ảnh ẩn bằng thẻ <canvas> của HTML5. Website yêu cầu trình duyệt vẽ một đoạn chữ và vài hình khối ngoài màn hình, sau đó đọc lại từng điểm ảnh và băm chúng thành một chuỗi ký tự. Vì phần cứng và phần mềm mỗi người mỗi khác, chuỗi đó gần như là duy nhất và ổn định qua các lần truy cập.

Kỹ thuật này được giới nghiên cứu mô tả lần đầu trong bài báo “Pixel Perfect: Fingerprinting Canvas in HTML5” (Mowery & Shacham, Đại học California San Diego, 2012), và được xác nhận sử dụng rộng rãi qua nghiên cứu “The Web Never Forgets” (Acar và cộng sự, ACM CCS 2014). Nói cách khác, đây không phải lý thuyết — nó đã âm thầm chạy trên web hơn một thập kỷ, và là một mảnh ghép quan trọng của dấu vân tay trình duyệt tổng thể.

Canvas fingerprinting hoạt động như thế nào?

Canvas fingerprinting hoạt động qua bốn bước, diễn ra trong vài mili-giây và không hiển thị gì trên màn hình:

 Bốn bước của canvas fingerprinting — cùng một đoạn mã, nhưng mỗi thiết bị cho ra một mã băm khác nhau.

● Ra lệnh vẽ: JavaScript của website yêu cầu vẽ một dòng chữ (thường có font đặc biệt, dấu, emoji) và vài hình khối lên một canvas ẩn.

● Thiết bị render: trình duyệt nhờ GPU và hệ điều hành “tô” các điểm ảnh — cùng một lệnh vẽ, nhưng mỗi cấu hình cho ra điểm ảnh hơi lệch nhau.

● Đọc lại điểm ảnh: website gọi toDataURL() hoặc getImageData() để lấy lại dữ liệu điểm ảnh vừa vẽ.

● Băm thành mã: dữ liệu đó được đưa qua hàm băm (ví dụ a3f9c1b8…). Chuỗi này là canvas fingerprint và thường giống nhau qua mỗi lần bạn ghé lại.

Vì sao mỗi thiết bị lại có canvas fingerprint khác nhau?

Vì việc render đồ hoạ phụ thuộc vào tổ hợp phần cứng và phần mềm riêng của từng máy. Cùng lệnh vẽ chữ “Cwm fjord”, laptop của bạn và máy người khác sẽ cho ra điểm ảnh không hoàn toàn trùng ở rìa chữ, độ khử răng cưa, màu pha trộn. Các yếu tố ảnh hưởng chính gồm:

Sáu yếu tố chính khiến hai thiết bị hiếm khi có cùng một canvas fingerprint.

● Mẫu GPU (chip đồ hoạ) và phiên bản driver đồ hoạ.

● Hệ điều hành và phiên bản.

● Danh sách font đã cài và cách render font.

● Thuật toán khử răng cưa (anti-aliasing).

● Loại trình duyệt và nhân (Chromium hay Firefox).

Càng nhiều yếu tố khác biệt cộng lại, xác suất hai người trùng nhau càng nhỏ — đó là lý do canvas fingerprint có sức phân biệt cao.

Website dùng canvas fingerprint để làm gì?

Website dùng canvas fingerprint chủ yếu để nhận diện lại người dùng và phát hiện gian lận, kể cả khi người dùng không đăng nhập hay đã xoá cookie. Các mục đích phổ biến gồm:

● Chống gian lận và bot trong thanh toán, quảng cáo.

● Theo dõi người dùng để phục vụ quảng cáo hành vi mà không cần cookie.

● Giới hạn lạm dụng tài khoản dùng thử miễn phí.

● Phát hiện nhiều tài khoản đến từ cùng một thiết bị để gắn cờ hoặc khoá liên kết — điều quan trọng với dân MMO.

Nếu bạn quản lý nhiều gian hàng, nhiều tài khoản quảng cáo hay ví airdrop trên một máy, canvas fingerprint giống nhau là một trong những dấu hiệu khiến nền tảng nghi ngờ.

Canvas fingerprint khác cookie ở điểm nào?

Khác biệt cốt lõi: cookie là dữ liệu website lưu vào máy bạn, còn canvas fingerprint được suy ra từ chính đặc điểm máy bạn — nên bạn không thể “xoá” nó như xoá cookie.

Chính vì thế, nhiều người ngạc nhiên khi vẫn bị nhận ra dù đã xoá sạch cookie và bật ẩn danh: cookie mất, nhưng canvas fingerprint thì vẫn còn.

Làm sao kiểm tra và chống canvas fingerprint?

Bạn có thể tự kiểm tra canvas fingerprint bằng công cụ miễn phí (như Cover Your Tracks của EFF hoặc AmIUnique.org), và chống lại nó theo vài hướng:

● Dùng trình duyệt chú trọng quyền riêng tư: Tor chặn/hỏi trước khi cho đọc canvas; Firefox có tuỳ chọn resistFingerprinting; Brave ngẫu nhiên hoá nhẹ.

● Dùng tiện ích chặn script fingerprinting.

● Dùng trình duyệt antidetect để mỗi profile mang một fingerprint riêng, nhất quán — phù hợp khi cần vận hành nhiều tài khoản.

Đây chính là bài toán mà GPM Login sinh ra để giải: mỗi hồ sơ (profile) có một bộ dấu vân tay độc lập, trong đó canvas được thay đổi có kiểm soát để nhiều tài khoản trên cùng một máy không lộ chung một chỉ số. Trong thực tế khi vận hành hàng trăm profile, đây là điểm khác biệt giữa việc tài khoản sống lâu và bị khoá hàng loạt.

Nếu bạn mới bắt đầu, có thể đọc thêm bài nền tảng fingerprint trình duyệt là gì để hiểu bức tranh tổng thể trước khi đi sâu.

Câu hỏi thường gặp

Canvas fingerprint có hợp pháp không?

Bản thân kỹ thuật này không bị cấm ở hầu hết các nơi, nhưng việc dùng nó để theo dõi người dùng có thể chịu ràng buộc của luật bảo vệ dữ liệu như GDPR. Tính hợp pháp phụ thuộc vào mục đích và khu vực.

Xoá cookie hoặc dùng ẩn danh có xoá được canvas fingerprint không?

Không. Cookie bị xoá nhưng canvas fingerprint được suy ra từ cách máy bạn render đồ hoạ, nên nó vẫn tồn tại trong chế độ ẩn danh và sau khi xoá cookie.

VPN có che được canvas fingerprint không?

Không trực tiếp. VPN chỉ đổi địa chỉ IP, còn canvas fingerprint dựa trên trình duyệt và phần cứng, không liên quan tới IP. Bạn cần công cụ can thiệp vào chính fingerprint.

Trình duyệt antidetect chống canvas fingerprint bằng cách nào?

Nó tạo cho mỗi profile một giá trị canvas riêng biệt và ổn định (thường bằng cách thêm nhiễu có kiểm soát vào dữ liệu điểm ảnh), khiến các tài khoản khác nhau trên cùng một máy trông như đến từ các thiết bị khác nhau.

Kết luận

Canvas fingerprint là một trong những kỹ thuật nhận diện âm thầm và dai dẳng nhất trên web: nó lấy dấu vân tay từ chính cách máy bạn vẽ đồ hoạ, không cần cookie và không bị ẩn danh xoá đi. Với dân vận hành nhiều tài khoản, kiểm soát được canvas fingerprint là điều kiện sống còn để tài khoản không bị liên kết và khoá.

Muốn mỗi tài khoản có một “danh tính” trình duyệt riêng? Trải nghiệm cách GPM Login quản lý fingerprint theo từng profile.  Dùng thử GPM Login miễn phí →