Mẹo bảo vệ quyền riêng tư từ Washington Post: Khuyến nghị ngừng dùng Chrome và gỡ ứng dụng Meta, Yandex

• Cây bút công nghệ của Washington Post đưa tin rằng Meta và Yandex đã thu thập dữ liệu người dùng trong nhiều tháng bằng cách lách các cơ chế bảo vệ bảo mật trên Android
• Nghiên cứu cho thấy không có cài đặt nào có thể ngăn hoàn toàn việc thu thập dữ liệu
• Trình duyệt Chrome không chặn được phần lớn các phương thức theo dõi liên trang web, nên yếu về mặt bảo vệ quyền riêng tư
• Ứng dụng Meta và Yandex khi được cài trên điện thoại có thể truy cập nhiều thông tin nhạy cảm hơn
• Ngay cả khi không có ứng dụng Meta, hoạt động của người dùng trên toàn bộ web vẫn có thể bị Meta theo dõi

---

Tổng quan

Cây bút công nghệ của Washington Post chỉ ra rằng Meta(Facebook, Instagram) và Yandex đã bí mật thu thập dữ liệu người dùng trong thời gian dài bằng cách vượt qua các cơ chế bảo mật và quyền riêng tư trên thiết bị Android. Theo nghiên cứu này, không có cài đặt nào có thể chặn hoàn toàn việc thu thập dữ liệu, và hai công ty này cũng đã lách cả các biện pháp bảo vệ mà Google chuẩn bị cho Android.

Lỗ hổng quyền riêng tư khi dùng trình duyệt Chrome

• Kết quả nghiên cứu cho thấy trình duyệt Chrome trong nhiều trường hợp không thể chặn theo dõi liên trang web, làm tăng nguy cơ rò rỉ thông tin có thể nhận diện cá nhân
• Các trình duyệt như Mozilla Firefox, Brave, DuckDuckGo chặn mạnh nhiều hình thức theo dõi, và Safari cũng nhìn chung cung cấp các tính năng bảo vệ mạnh mẽ
• Tuy vậy, không có trình duyệt nào mang lại bảo mật tuyệt đối, và ngay cả Firefox trên Android cũng vẫn bị lộ một phần trước hình thức thu thập dữ liệu này
• Khảo sát cho thấy DuckDuckGo và Brave chặn được phần lớn quy trình thu thập dữ liệu đang bị chỉ ra

Khuyến nghị gỡ ứng dụng Meta và Yandex

• Nếu đang cài ứng dụng Meta và Yandex (ứng dụng trên điện thoại), nên gỡ bỏ
• Các ứng dụng này có thể truy cập lượng thông tin nhạy cảm rộng hơn rất nhiều so với website (bao gồm vị trí gần đúng, mức pin còn lại và thông tin về các thiết bị khác kết nối với WiFi gia đình)
• Khả năng truy cập thông tin như vậy đồng nghĩa với nguy cơ bị phơi lộ thêm và xâm phạm đời tư ngoài ý muốn

Nguy cơ bị theo dõi ngay cả khi không cài ứng dụng

• Dù không dùng và không cài các ứng dụng thuộc hệ Meta như Facebook hay Instagram, Meta vẫn có thể thu thập thông tin về hành vi của người dùng trên toàn bộ web
• Hoạt động của người dùng có thể bị thu thập thông qua pixel theo dõi được nhúng trong website hoặc các phương thức nhận diện khác

Kết luận và cách người dùng nên phản ứng

• Bài viết nhấn mạnh thực tế rằng chỉ dựa vào tính năng bảo mật của trình duyệt là chưa đủ để bảo vệ quyền riêng tư, đồng thời cảnh báo nguy cơ một số ứng dụng bị lợi dụng để truy cập thông tin ngoài ý muốn
• Dùng trình duyệt ưu tiên quyền riêng tư như Brave thay cho Chrome, gỡ ứng dụng Meta·Yandex, và giảm thiểu theo dõi trên web là những biện pháp ứng phó thực tế được khuyến nghị

[GN⁺]

Ý kiến trên Hacker News

• Một bài tư vấn mà lại thiếu đề xuất cài trình chặn quảng cáo thì khó có thể được xem là đáng tin

  • Có ý kiến cho rằng nếu là một cơ quan truyền thông phụ thuộc vào doanh thu quảng cáo thì nhiều khả năng họ sẽ không khuyến nghị cài trình chặn quảng cáo, nhưng việc mạnh dạn từ bỏ những sản phẩm xâm phạm như vậy vẫn là lựa chọn tốt bất kể có dùng ad blocker hay không; vụ việc liên quan đến Meta và Yandex lần này còn bị đánh giá là ở cấp độ mã độc, và mọi người nên xóa ứng dụng của họ
  • Cũng có ý kiến rằng thông tin đưa ra không hoàn hảo nhưng vẫn là lời khuyên cơ bản không tệ; với người dùng phổ thông thì đây là một điểm khởi đầu phù hợp, rồi từ những điều cơ bản này họ có thể tự nhiên tìm hiểu thêm về các nội dung như trình chặn quảng cáo. Tham khảo thêm, bài trên ArsTechnica có tổng hợp nhiều lời khuyên hơn Xem bài viết
  • Có người bổ sung факт rằng ngay cả FBI cũng khuyến nghị dùng trình chặn quảng cáo Bài liên quan
  • Có ý kiến chỉ trích đây là kiểu không muốn cắn vào bàn tay nuôi sống mình, nhưng vẫn đánh giá tích cực ở chỗ bài viết thúc đẩy mọi người chuyển sang trình duyệt khác; chỉ riêng việc đổi trình duyệt thôi cũng đã là thay đổi lớn, và khi đã đổi trình duyệt thì việc cài extension phổ biến nhất cũng cực kỳ dễ. Kèm theo đó là một lời đùa bảo hãy thử nghĩ xem extension số 1 là gì
  • Có câu hỏi liệu trình chặn quảng cáo có thực sự ngăn rò rỉ dữ liệu cá nhân hay không; nó có thể chặn việc thu thập dữ liệu cho quảng cáo nhắm mục tiêu, nhưng các nguồn bên ngoài luôn là điểm rò rỉ tiềm tàng. Cũng có nhắc đến CORS (Cross-Origin Resource Sharing) là công nghệ nhằm giảm bớt vấn đề này. Người bình luận băn khoăn không biết ad blocker có khi nào lại làm tăng rò rỉ, hay là nó giảm động cơ thu thập nên từ đó làm giảm luôn việc thu thập dữ liệu

• Chia sẻ liên kết đến bài gốc Xem bài viết

  • Có người nhắc rằng trên slashdot thì nguồn dẫn lại còn trỏ sang msn, nên việc có thể xem trực tiếp nguồn gốc ban đầu sẽ tốt hơn

• Lo ngại rằng khi thủ thuật này bị lộ ra thì các ứng dụng khác sẽ làm gì tiếp theo; dự đoán rằng nếu không vá triệt để, bao gồm cả system webview, thì vô số ứng dụng kiểu spyware trên Play Store sẽ khai thác cách này để theo dõi người dùng. Cũng có người nêu vấn đề rằng Google đã được báo từ nhiều tháng trước về chuyện ứng dụng có thể xem toàn bộ danh sách app đã cài của người dùng mà không cần quyền nhưng hoàn toàn không phản ứng, từ đó đi đến lập trường rằng Google chẳng hề quan tâm đến quyền riêng tư của người dùng. Trong tình hình này, có người tranh luận gay gắt rằng dùng iPhone, grapheneos, hoặc thậm chí không dùng smartphone nào còn tốt hơn

• Có ý kiến nói rằng họ chưa thực sự hiểu rõ phương thức tấn công lần này. Dựa vào câu trong bài Washington Post: “Millions of websites contain a string of computer code from Meta that compiles your web activity. It might capture the income you report to the government, your application for a student loan and your online shopping.”, người này ngạc nhiên nếu điều đó có nghĩa là Meta nhìn thấy toàn bộ nội dung web HTTPS ở dạng văn bản thuần rồi tải lên; nếu đúng thì mức độ sẽ cực kỳ nghiêm trọng. Theo hiểu biết của họ thì trước giờ chỉ là theo dõi website đã truy cập, chứ không phải xem mọi dữ liệu trên trang

  • Có người chỉ ra rằng nếu lần tấn công này thậm chí còn phá vỡ same-origin policy thì đây sẽ là một lỗ hổng bảo mật cực lớn. Họ cho rằng kịch bản Meta hợp tác với các website khác để chia sẻ dữ liệu người dùng thì có thể xảy ra, nhưng việc âm thầm đánh cắp dữ liệu thuế mà không có sự hợp tác của IRS là điều khó khả thi trong thực tế. Nếu nỗi lo là các công ty như Intuit hay H&R Block chia sẻ dữ liệu với Meta thì đó vẫn là một xâm phạm quyền riêng tư rất nghiêm trọng, và với dữ liệu thuế thì còn có thể dính đến yếu tố bất hợp pháp

• Có người băn khoăn liệu khi công ty bắt buộc dùng Chrome thì có thể tận dụng chuyện này về mặt thuế hay không; nếu là contractor và bị buộc phải dùng Chrome cùng điện thoại di động thì có thể khấu trừ một chiếc work phone riêng không. Họ than phiền rằng không muốn cài cả hai thứ đó lên iPhone của mình, và nói thật là dù bằng cách nào thì cũng muốn lấy lại được chút gì đó từ tình huống này

  • Có ý kiến cho rằng tách biệt triệt để thiết bị cá nhân và thiết bị công việc là một thói quen tốt; lời khuyên thực tế là về sau trong các vụ kiện tụng hoặc giai đoạn discovery, bạn có thể bị yêu cầu giao nộp thiết bị. Chỉ cần trải qua chuyện đó một lần là ai cũng sẽ đi đến cùng một kết luận

• Có người đoán rằng dù đây là bài báo từ 30 tháng trước nhưng lượng online tracker liên quan đến Google chắc cũng chưa được cải thiện Bài tham khảo

• Có người nói họ đang dùng Zen Browser (FF) trên Windows và đồng bộ tốt với Firefox(iOS), công việc liên quan đến M365 thì dùng Edge, còn phát triển web thì vẫn tiếp tục dùng Chrome, nhưng đang phân vân không biết nên chuyển sang gì cho mục đích phát triển web

  • Một lập trình viên web mới vào nghề cho biết họ rất hài lòng với bộ công cụ web developer của Firefox và thắc mắc Chrome DevTools thực sự hơn Firefox ở điểm nào; các tính năng chính như chỉnh sửa CSS theo thời gian thực, xác định vị trí CSS rule bị ghi đè, debug JS... thì Firefox đều có cả

• Có người kể rằng gần đây họ gặp vấn đề không thể tải PDF trực tiếp trong Chrome, trong khi trên Firefox thì làm được; trên Chrome chỉ lưu được vào drive (đám mây)

  • Có người phản hồi rằng sáng nay họ vừa tải PDF bình thường trên bản Chrome mới nhất không gặp vấn đề gì, và nếu là một thiết lập đặc biệt thì nên kiểm tra phần đó
  • Có người bổ sung rằng trên Chrome có thể nhấp chuột phải vào PDF rồi chọn Save As để lưu
  • Có người khác lại gặp vấn đề ngược lại: họ muốn PDF được render để đọc ngay nhưng trình duyệt lại chỉ tải xuống, điều này làm họ thấy khó chịu
  • Có người hỏi đã thử tìm nút Print chưa

• Có người hỏi mẹo sử dụng WhatsApp mà không cần cài ứng dụng

  • Có đề xuất là thông báo cho các liên hệ WA(WhatsApp) một phương thức liên lạc thay thế rồi xóa ứng dụng, như vậy sẽ ngừng dùng WhatsApp được
  • Cũng đưa ra phương án thay thế là dùng Telegram

• Có người đề xuất nên ngừng dùng cả Alexa, kèm lời đùa rằng tất nhiên một tờ báo của Bezos sẽ không đưa ra khuyến nghị như vậy