HN: Cloudflare chặn Pale Moon và các trình duyệt không phổ biến khác

• Vấn đề với kiểm tra tính toàn vẹn trình duyệt của Cloudflare

  • Tính năng kiểm tra tính toàn vẹn trình duyệt của Cloudflare gây ra tình trạng chặn truy cập đối với người dùng các trình duyệt không phổ biến như Pale Moon
  • Người dùng bắt đầu báo cáo từ ngày 31 tháng 1

• Sự cố và cách ứng phó

  • Vấn đề này xảy ra ít nhất mỗi năm một lần và không có cách dễ dàng để liên hệ với Cloudflare
  • Công cụ "Gửi phản hồi" không hiệu quả, còn chủ đề trên cộng đồng Cloudflare bị đánh dấu là spam và bị khóa
  • Không có phản hồi chính thức nào từ Cloudflare

• Các trình duyệt khác cũng bị ảnh hưởng

  • Falkon, SeaMonkey, IceCat, Basilisk và các trình duyệt khác cũng bị chặn truy cập

• Các trường hợp trước đây

  • Đã từng có một bài đăng trên Hacker News năm 2022 nêu ra cùng vấn đề này, và Cloudflare khi đó đã nhanh chóng vá lỗi
  • Khi đó, quản lý sản phẩm của Cloudflare tuyên bố rằng họ sẽ không phán xét tính chính đáng của các trình duyệt cụ thể

• Tình hình hiện tại

  • Tính đến nay vẫn chưa có phản hồi chính thức nào từ Cloudflare, và việc truy cập Internet vẫn tiếp tục bị chặn

[GN⁺]

Ý kiến Hacker News

• Một người dùng đang dùng Chrome trên Linux và nhận thấy năm nay Cloudflare hiển thị hộp "xác minh con người" rất thường xuyên. Nhiều trang web dùng tính năng này, và sau khi xử lý xong thì 30 phút sau nó lại xuất hiện. Họ tự hỏi Cloudflare đang bảo vệ điều gì

• Trước đây, từng có trường hợp website hạn chế tính năng hoặc từ chối render với một số trình duyệt nhất định. Vì vậy, các trình duyệt bắt đầu dùng user agent giả vờ là trình duyệt khác. Ví dụ, trình duyệt Chrome giả vờ là Firefox và Safari. Không rõ Cloudflare dùng tính năng nào để nhận diện trình duyệt, nhưng điều này gợi nhớ đến quá khứ

• Với tư cách là chủ sở hữu website và cũng là người dùng VPN, họ hiểu cả hai phía. Một mặt, việc hộp "xác minh con người" hiện ra mỗi lần dùng ChatGPT và DeepSeek thật phiền. Mặt khác, nếu không có Cloudflare thì mỗi ngày họ sẽ phải thấy hàng nghìn yêu cầu spam và các nỗ lực tấn công. Họ không biết lời giải là gì

• Họ thắc mắc có bao nhiêu người thực sự vận hành máy chủ bare metal kết nối trực tiếp với Internet. Họ nghi ngờ DDoS có thật sự là vấn đề phổ biến đến vậy hay không. Họ đã vận hành máy chủ với các biện pháp bảo mật tiêu chuẩn và tính năng chống DDoS của nhà cung cấp hosting, nhưng chưa từng gặp vấn đề thực sự. Vì vậy họ tự hỏi tại sao mọi thứ đều phải chạy qua Cloudflare

• Họ tải Palemoon về để kiểm tra thì CAPTCHA lập tức bị crash. Khi tải lại trang, CAPTCHA không còn xuất hiện nữa. Họ thử các turnstile khác của Cloudflare nhưng trình duyệt bị crash do segfault. ChatGPT.com thường hữu ích để tạo prompt Cloudflare, nhưng với Palemoon thì không hoạt động

• Các công ty như Google và Cloudflare cung cấp miễn phí những công cụ tuyệt vời. Những công cụ này mang lại giá trị lớn cho nhiều người. Họ tự hỏi liệu việc giao Internet cho những công ty đó có đáng hay không, hay liệu có một vấn đề mang tính nền tảng trong kiến trúc Internet khiến các tập đoàn lớn phải bù đắp cho nó

• Cloudflare cố xác minh con người khi trang web Australia Post yêu cầu tài nguyên JSON. Điều này làm hỏng tính năng theo dõi bưu kiện, và chỉ có thể chẩn đoán vấn đề khi dùng công cụ kiểm tra của trình duyệt. Nếu mở URL thủ công và thử giải CAPTCHA, họ nhận được thông báo "bị chặn"

• Điều mỉa mai nhất là Cloudflare lại không thể phòng thủ trước bot. Họ thậm chí từng viết bot để vượt qua lớp bảo vệ của Cloudflare

• Với RSS feed, thử thách của Cloudflare là tệ nhất. Họ chỉ còn cách hủy đăng ký feed, không còn cách nào khác