Cơ chế nới lỏng cookie bên thứ ba gây hiểu nhầm của Chrome

 (brave.com)
1 điểm bởi GN⁺ 2024-08-30 | 1 bình luận | Chia sẻ qua WhatsApp
  • Related Website Sets (RWS) của Chrome cho phép ngoại lệ chia sẻ thông tin giữa các trang liên quan ngay cả sau khi cookie bên thứ ba bị loại bỏ, có thể làm suy yếu việc bảo vệ quyền riêng tư trên web
  • Tính năng này dựa trên giả định rằng người dùng có thể nhận ra quan hệ sở hữu giữa các trang, nhưng trong một nghiên cứu với 30 người tham gia, khoảng 42% tổng số đánh giá là sai và khoảng 73% mắc sai ít nhất một lần
  • Ngay cả khi Chrome phân loại là “các trang liên quan”, người dùng vẫn đánh giá khoảng 37% là không liên quan, khiến việc theo dõi giữa các trang mà người dùng không ngờ tới có thể xảy ra
  • Để xác nhận mối quan hệ, người dùng phải mở trang trước, nên ngay khi thấy thương hiệu dùng chung hoặc logo, cơ hội chia sẻ thông tin và theo dõi đã xuất hiện
  • Brave, Firefox và Safari phản đối RWS hoặc tên gọi trước đó là First-Party Sets, và đề xuất này cũng đã bị loại khỏi W3C Privacy Community Group

RWS đang thay đổi các giả định về quyền riêng tư trên web

  • Related Website Sets (RWS) là tính năng Google đưa vào Chrome trước khi chấm dứt cookie bên thứ ba
  • Google cho rằng RWS giúp giảm vấn đề tương thích trang web và duy trì trạng thái đăng nhập giữa các tên miền có liên quan
  • Brave chỉ trích rằng RWS ưu tiên lợi ích của nhà quảng cáo hơn lợi ích của người dùng, và là cơ chế tiếp tục cho phép liên kết giữa các trang ngay cả sau khi cookie bên thứ ba bị loại bỏ
  • Giả định cốt lõi là nếu hai trang do cùng một tổ chức vận hành, người dùng có thể kỳ vọng việc chia sẻ thông tin và trình duyệt không cần áp dụng mức chặn nghiêm ngặt như với cookie bên thứ ba
    • Ví dụ được nêu là instagram.com và facebook.com do Meta vận hành
  • Giả định này làm suy yếu mô hình quyền riêng tư trên web theo hướng chỉ vì cùng một tổ chức sở hữu mà có thể cho phép theo dõi giữa các trang

Nghiên cứu người dùng: khó xác định quan hệ giữa các trang

  • Nghiên cứu kiểm chứng giả định cốt lõi của RWS: “người dùng web có thể đánh giá chính xác mối quan hệ giữa hai trang web hay không”
  • Nhóm nghiên cứu đưa cho 30 người dùng web được tuyển qua mạng xã hội, mỗi người 20 cặp website
    • Các cặp website được chọn ngẫu nhiên từ danh sách RWS của Chrome và Tranco, danh sách các website phổ biến
    • Người tham gia đánh giá liệu hai trang có do cùng một tổ chức vận hành hay không
    • Vì một số người tham gia không trả lời hết mọi câu hỏi, tổng cộng đã thu thập được 430 đánh giá duy nhất về các cặp website
  • Kỳ vọng của người dùng thường không khớp với danh sách RWS
    • Khoảng 73% người tham gia đánh giá sai quan hệ giữa hai trang ít nhất một lần
    • Khoảng 42% tổng số đánh giá là sai
    • Ngay cả với các cặp trang thực sự có liên quan theo tiêu chí RWS, người dùng vẫn xem khoảng 37% là không liên quan
  • Kết quả này cho thấy RWS có thể tái tạo hành vi tương tự cookie bên thứ ba ngay cả trong những tình huống người dùng không hề kỳ vọng
  • Toàn bộ bài báo đã được công bố dưới dạng bài báo arXiv và dự kiến trình bày tại 2024 Internet Measurement Conference

Cơ hội theo dõi xuất hiện trước cả khi người dùng kịp đánh giá

  • Trực giác đằng sau RWS là người dùng sẽ hiểu mối quan hệ giữa trang A và trang B trước, rồi chỉ truy cập trang B khi họ chấp nhận mối quan hệ đó
  • Nhưng trên thực tế, để nhận ra thương hiệu dùng chung hoặc logo của trang B, người dùng phải tải trang B trước
  • Ngay khi trang được tải, cơ hội chia sẻ thông tin và theo dõi giữa các trang đã phát sinh
  • Vì vậy, RWS có thể gây tổn hại quyền riêng tư trước cả khi người dùng kịp đánh giá quan hệ giữa hai trang

Cùng một tổ chức sở hữu không phải là cơ sở để cho phép theo dõi

  • RWS dựa trên quan điểm rằng nếu hai trang có liên quan thì việc trình duyệt hạ thấp mức bảo vệ quyền riêng tư giữa chúng là vô hại hoặc có thể chấp nhận được
  • Brave cho rằng giả định này là sai
    • Nếu người dùng đăng ký tài khoản Facebook và Instagram bằng các email và thông tin khác nhau, các trình duyệt hiện đại có thể ngăn Meta biết hai tài khoản đó thuộc cùng một người
    • Các trình duyệt phổ thông như Brave, Firefox, Safari và cả các trình duyệt chuyên biệt như Tor Browser, Icefox cũng có thể cung cấp bảo vệ này như hành vi mặc định
  • Một số công ty cố vượt qua các biện pháp bảo vệ quyền riêng tư của trình duyệt bằng link decoration hoặc bounce tracking
  • Khác biệt cốt lõi là trong khi các trình duyệt ưu tiên quyền riêng tư đang thử nghiệm kỹ thuật chặn theo dõi giữa các trang, Chrome lại thiết kế tính năng cho phép các liên kết giữa các trang

Phản ứng của trình duyệt và cộng đồng tiêu chuẩn hóa

  • RWS được đưa ra như một đề xuất web thông thường, nhưng nhiều bên trong hệ sinh thái web đã xem xét và từ chối
  • Brave, Firefox, Safari đã công khai bày tỏ rằng RWS hoặc tên gọi trước đây là First-Party Sets không tốt cho người dùng và cho web
  • Đề xuất này đã bị loại khỏi W3C Privacy Community Group và không còn được xem xét trong các nhóm tập trung vào quyền riêng tư của W3C

Thay đổi quyền sở hữu và rào cản ngôn ngữ

  • Các tên miền trong danh sách RWS sau này có thể chuyển sang chủ sở hữu khác
    • Việc hôm nay các tên miền A, B, C do cùng một tổ chức vận hành không đảm bảo ngày mai chúng vẫn thuộc cùng một chủ sở hữu
    • Đây là kiểu rủi ro tương tự các trường hợp tiện ích mở rộng trình duyệt bị bán từ bên đáng tin cậy sang bên độc hại, hoặc thư viện phần mềm phổ biến và các phụ thuộc của chúng bị chiếm quyền
    • Dù một trang có ý nghĩa là liên quan tại thời điểm được đưa vào danh sách, vẫn còn lo ngại rằng không có cơ chế để loại bỏ nó khi quyền sở hữu âm thầm thay đổi
  • Cũng tồn tại vấn đề về ngôn ngữ và nhận thức
    • Ngay cả trong tình huống người dùng nói tiếng Anh đánh giá các trang tiếng Anh, họ vẫn không đoán được một số trang mà Google cho là có liên quan
    • Khi người dùng truy cập các trang bằng ngôn ngữ họ không biết, việc đánh giá mối quan hệ có thể còn khó hơn

Kết luận

  • RWS có thể gây hại cho quyền riêng tư trên web theo ba cách
    • Giả định rằng người dùng có thể dự đoán trang nào liên quan với trang nào không phù hợp với hành vi thực tế của người dùng
    • Trước khi người dùng đánh giá được hai trang có do cùng một tổ chức vận hành hay không, cơ hội theo dõi giữa các trang đã xuất hiện
    • Nó cố định vào nền tảng web giả định rằng nếu các trang thuộc cùng một tổ chức thì tổ chức đó được phép theo dõi người dùng giữa các trang
  • Các trình duyệt tôn trọng quyền riêng tư đang đi theo hướng chặn theo dõi trên mọi trang, bất kể tổ chức sở hữu là ai

Bài viết liên quan

1 bình luận

 
GN⁺ 2024-08-30
Các ý kiến trên Hacker News
  • Tôi đã dùng Firefox từ lâu và không gặp vấn đề lớn. Trước đây, khi bộ nhớ còn ít, Chrome đúng là dùng ít RAM hơn, nhưng Firefox cũng có chế độ chỉ HTTPS, DNS mã hóa không có đường dự phòng, SOCKS và hỗ trợ Encrypted Client Hello
    Tuy nhiên, gần như không có trang web nào hỗ trợ Encrypted Client Hello. Với bộ nhớ thì tốt hơn là cứ mua thêm, ngoại trừ có thể là những người may mắn dùng sản phẩm Apple
    Trình duyệt phải đứng về phía người dùng, không được hợp tác với các công ty marketing. Xa hơn nữa, nó phải làm cho việc theo dõi người dùng và lấy dấu vân tay trở nên khó hơn. Không cần theo dõi lịch sử duyệt web của người dùng; chỉ cần tạo ra sản phẩm tốt hơn đối thủ, đứng đầu trong các bài đánh giá và so sánh, rồi mua quảng cáo qua influencer là được
    Sẽ tốt hơn nếu trình duyệt khiến việc lấy dấu vân tay khó hơn bằng cách chặn đọc dữ liệu canvas, đọc tên GPU, liệt kê card âm thanh, phát hiện tiện ích mở rộng đã cài, v.v. Các Web API mới phải bảo đảm không làm tăng dữ liệu dấu vân tay, hoặc phải được ẩn sau quyền truy cập
    Với cookie bên thứ ba, thay vì các danh sách đáng ngờ như RWS, trình duyệt chỉ cần cung cấp một nút cho phép ngoại lệ trên các website cũ phụ thuộc vào nó. Dù vậy vẫn có rủi ro là báo, blog và trang hỏi đáp sẽ ép người dùng bấm nút đó mới được xem nội dung
    • Trình duyệt vốn dĩ lẽ ra phải là user agent làm việc cho người dùng. Ngày nay, càng lúc càng khó tìm được một trình duyệt không làm việc cho các công ty quảng cáo bằng cách hy sinh người dùng
      Lý do tồn tại của Chrome là thu thập dữ liệu, còn Firefox ít nhất hiện tại vẫn có thể được cấu hình cứng rắn theo hướng có lợi cho người dùng để chặn đáng kể việc lấy dấu vân tay. Nhưng Mozilla giờ cũng đã trở thành một công ty công nghệ quảng cáo, và việc khiến Firefox mặc định giám sát người dùng để có thể bán dữ liệu đó cho marketer cho thấy họ thiếu tôn trọng người dùng Firefox
      Hiện có thể tắt hoạt động giám sát đó trong about:config bằng cách đặt dom.private-attribution.submission.enabled thành false
      Xem https://news.ycombinator.com/item?id=41311479 và https://web.archive.org/web/20240827185708/https://make-fire.... Không rõ tùy chọn này sẽ được giữ trong bao lâu, hoặc sau các bản cập nhật sẽ phải thường xuyên đặt lại về false đến mức nào
      Thật sự cần một trình duyệt mới hoạt động vì lợi ích của người dùng
    • Việc bảo đảm một Web API mới không cung cấp thêm dữ liệu dấu vân tay về cơ bản là bất khả thi. Bởi ngay cả việc người dùng có chọn một tùy chọn trong thông báo xin quyền hay không, và nếu có thì đã chọn gì, bản thân nó đã là một điểm dữ liệu
      Vì vậy người ta thường nói rằng giải pháp duy nhất cho vấn đề này là quản lý bằng luật, và góc nhìn đó khá thuyết phục
    • https://news.ycombinator.com/item?id=40703546 — nội dung từ hai tháng trước
    • Trong bối cảnh trình duyệt dẫn đầu được phát triển bởi một công ty quảng cáo, việc thực thi chính sách đứng về phía người dùng là khá khó. Tệ hơn nữa, cùng công ty đó còn đóng góp cho quỹ Firefox và dẫn dắt cả các “tiêu chuẩn” web
      Tất cả trông giống như thông đồng, và việc trình duyệt trở nên phức tạp hơn cả hệ điều hành mà nó chạy trên đó cũng là một cấu trúc có chủ ý để các nhóm nhỏ không thể khuấy động cuộc chơi. Giải pháp cứng đầu là tránh web nhiều nhất có thể và tập trung vào điện toán ở quy mô con người
    • Ưu tiên hàng đầu của nhà sản xuất trình duyệt phải là ngăn lấy dấu vân tay trình duyệt của người dùng
      Tất cả tin tức và thảo luận chính sách quanh cookie đều trông giống như một dạng tiết lộ có giới hạn
  • Kết quả như thế này có vẻ khá dễ đoán. Related Website Sets (RWS) được nói là cách để công ty khai báo quan hệ giữa các site, qua đó trình duyệt cho phép truy cập cookie bên thứ ba giới hạn cho những mục đích cụ thể
    Vậy chẳng phải là website tự khai báo những domain “được ban phước” có thể trực tiếp vượt qua chặn cookie bên thứ ba sao? Các website lớn liên tục tìm cách lách và lạm dụng nỗ lực tự bảo vệ của người dùng. Làm sao có thể tin rằng các site này sẽ không lạm dụng điều đó?
    • Không phải website tự khai báo trực tiếp. Có một danh sách chính phải được gửi lên và phải qua quy trình phê duyệt
      Nhưng như bài viết đề cập, chỉ cần nhìn nội dung danh sách sơ bộ đã thấy đáng lo. Ý tưởng “Google làm trọng tài cho mọi thứ liên quan đến quảng cáo” là một thất bại
      Dù vậy phương án thay thế cũng không hay. Hệ thống cookie bên thứ ba hiện tại cho phép những chuyện còn tệ hơn nhiều. Cần có ý tưởng tốt hơn
    • Tôi không biết chi tiết, nhưng tự hỏi liệu nó có giống thứ tôi thấy gần đây trên Safari không. Khi truy cập một website liên quan của Microsoft, có một popup hỏi có cho phép chia sẻ cookie để đăng nhập hay không, và tôi có thể chấp thuận hoặc từ chối
      Cách triển khai đó có vẻ tốt hơn
  • Đây là một tình huống khó. Nó có thể, và thực tế sẽ, bị lạm dụng để liên kết quan hệ giữa các domain theo cách người dùng không ngờ tới nhằm theo dõi
    Nhưng cũng có những trường hợp sử dụng chính đáng. Ví dụ, các site thuộc hệ Stack Exchange rõ ràng có liên quan và có thương hiệu thống nhất, nhưng dùng các domain khác nhau. Trên Firefox khi chặn cookie bên thứ ba, phải đăng nhập riêng trên từng domain; sau khi đăng nhập vào stackoverflow.com, khi sang superuser.com thì vẫn chưa ở trạng thái đã đăng nhập. First Party Sets chính là đang cố giải quyết vấn đề này
    Có thể nói lẽ ra các site này nên là subdomain của một domain thống nhất thì tốt hơn. Nhưng tại thời điểm các site được tạo ra, cookie bên thứ ba hoạt động bình thường, nên không có lý do mạnh mẽ để phải làm vậy. Việc chuyển ứng dụng sang domain khác mà không gây vấn đề cho người dùng có thể thật sự đau đớn và tốn kém
    Điều đó không có nghĩa là nên chấp nhận nguyên trạng First Party Sets, nhưng đây là một nỗ lực giải quyết một vấn đề thực tế. Việc tìm ra giải pháp vừa bảo vệ quyền riêng tư của người dùng vừa giữ trải nghiệm tốt cho những site thực sự có liên quan là rất khó, hoặc có lẽ là bất khả thi
    • Sau khi đăng nhập vào stackoverflow.com, nếu muốn tự động đăng nhập cả trên superuser.com, tôi kỳ vọng có một popup xin quyền kiểu như “Trang này muốn chia sẻ cookie với stackexchange.com. Hãy bấm cho phép để đăng nhập, từ chối để từ chối vĩnh viễn, hoặc bỏ qua để quyết định sau”

Có thể tận dụng cả hai lợi ích chỉ bằng một cú nhấp. Để giảm nhầm lẫn, nên để mọi website có một “miền bên thứ nhất” duy nhất được chia sẻ cho toàn bộ các site con, và miền bên thứ nhất đó không được phép chia sẻ cookie với bất kỳ site nào ngoài chính nó

  • Safari và Firefox đã chặn cookie bên thứ ba trong nhiều năm rồi. Stack Overflow đã có đủ thời gian để thích nghi và chuyển sang cấu trúc tổ chức “đúng”
    Nếu họ coi việc cho phép đăng nhập hợp nhất trên nhiều miền là quan trọng, lẽ ra họ đã phải chuyển sang mô hình subdomain từ lâu. Vì người dùng Firefox và Safari đã chịu tác động tiêu cực trong thời gian dài
    Nếu họ không coi trọng chuyện đó lắm thì cũng không sao, nhưng khi đó việc Chrome chặn cookie bên thứ ba hay thảo luận về First Party Sets cũng không nên liên quan nhiều đến họ
  • Stack Overflow được tạo ra vào năm 2008. Netscape đã thêm nút chặn cookie bên thứ ba vào năm 1997, và nhìn chung web vẫn hoạt động tốt ngay cả khi bật tính năng đó
  • Nhớ đến việc Google thuận tiện chuyển sang Manifest V3 dù có các trường hợp sử dụng chính đáng như trình chặn quảng cáo. Về mặt kỹ thuật, V3 có thể an toàn hơn và tốt hơn cho người dùng, nhưng ở đây thì cảm giác như một động thái theo hướng ngược lại
  • Có vẻ các site khác xử lý vấn đề này tốt bằng redirect và header cross-origin. Đến một lúc nào đó thì đúng là bạn tới signin.foo.com, nhưng về trải nghiệm người dùng thì trông như đã được xác thực mà không cần đăng nhập lại
  • Google có kỳ vọng các trình duyệt khác cứ sao chép danh sách của họ không
    Hay các nhà phát triển phải gửi các miền liên quan cho từng trình duyệt, rồi mỗi trình duyệt tự duy trì danh sách riêng
    Nghe giống HSTS
    [0]: https://github.com/GoogleChrome/related-website-sets/blob/ma...
  • Brave không có vẻ là một nguồn tốt hay khách quan về chủ đề này
    • Rõ ràng Brave có động cơ thương mại để phàn nàn về Chrome, nhưng điều đó không làm cho lời phàn nàn ấy trở thành sai
    • Không rõ ý là vì Brave là đối thủ cạnh tranh, hay còn có nghĩa gì khác
  • Có vẻ đã đến lúc bắt đầu chặn /.well-known/related-website-set.json
  • Nhìn cụm “ngay cả sau khi cookie bên thứ ba bị loại bỏ trong Chrome”, có vẻ bài này được viết cách đây vài tuần
    • Có thể giải thích không
  • Tôi dùng Firefox nên không quan tâm
    • Firefox sẽ hỗ trợ cái này, hoặc các website bạn thích sẽ không hoạt động, rồi cuối cùng bạn sẽ chuyển sang Chrome vì nó hoạt động
  • Padme: Vậy Brave giờ sẽ không còn dựa trên Chrome nữa đúng không?
    • Brave không phải Chrome mà là trình duyệt phái sinh từ Chromium. Tôi không hiểu vì sao tình huống này lại có nghĩa là họ phải ngừng phái sinh từ Chromium
      Chính sách cookie và các giá trị mặc định có thể được phát triển và phân phối theo ý họ
    • Brave có kỹ sư phần mềm, nên có lẽ họ sẽ chỉ tắt phần mã đó và tiếp tục, như họ vẫn làm với nhiều phần khác của engine Chrome
  • Đây không hẳn là nơi phù hợp, nhưng nếu ai biết nghiên cứu hay bài viết nào về Topics quảng cáo của Chrome thì tôi muốn biết. Hiện giờ tôi gần như không biết nó ảnh hưởng thế nào đến quyền riêng tư của người dùng, và những gì được chia sẻ với bên thứ ba