Trong gần 20 năm qua, hầu hết các trình duyệt web đều phải đối mặt với một vấn đề riêng tư nghiêm trọng có thể làm rò rỉ lịch sử duyệt web của người dùng. Tin vui là Google đang dẫn đầu cuộc cách mạng để giải quyết triệt để lỗ hổng này, đưa ra một giải pháp được mong đợi từ lâu.
Chrome Khắc Phục Lỗ Hổng Rò Rỉ Cross-Site Như Thế Nào?
Mỗi khi bạn truy cập một trang web bằng Chrome (hoặc trình duyệt dựa trên Chromium), trình duyệt sẽ đánh dấu các liên kết mà bạn đã nhấp bằng cờ “:visited”, khiến chúng hiển thị màu tím trong kết quả tìm kiếm hoặc trên các trang web khác. Đây là một chỉ báo trực quan hữu ích, giúp người dùng nhận biết rằng họ đã truy cập liên kết đó trước đây.
Vấn đề “:visited” link và rủi ro quyền riêng tư
Tuy nhiên, việc trình duyệt hiển thị sự thay đổi màu sắc này bất kể trang web bạn đang truy cập là gì đã tạo ra một kẽ hở bảo mật. Các trang web độc hại có thể lợi dụng JavaScript để viết các đoạn mã tinh vi, từ đó đánh cắp lịch sử duyệt web của bạn một cách dễ dàng. Thậm chí, việc bạn đã thực hiện các biện pháp để tăng cường quyền riêng tư cho trình duyệt cũng không thể ngăn chặn hoàn toàn nguy cơ này.
Vấn đề này đã tồn tại từ trước khi Chrome ra đời và gây ra các vụ rò rỉ dữ liệu trong hơn hai thập kỷ qua. Mặc dù các trình duyệt đã triển khai nhiều bản vá lỗi và biện pháp giảm thiểu rủi ro, nhưng không có giải pháp nào thực sự triệt để.
Kyra Seevers của Google đã giải thích chi tiết hơn trong một bài đăng trên blog khi công bố bản cập nhật mới. Ví dụ, Firefox đã giới hạn các kiểu CSS có thể áp dụng cho các trang được đánh dấu “:visited” và chặn JavaScript đọc chúng. Safari sử dụng các tính năng như Intelligent Tracking Prevention để giảm thiểu rủi ro. Tuy nhiên, cả hai giải pháp này đều không thể chặn đứng tất cả các cuộc tấn công khai thác lỗ hổng này.
Giải pháp đột phá từ Chrome: Phân Vùng Lịch Sử Liên Kết “:visited”
Bắt đầu từ phiên bản 136 sắp tới, Chrome sẽ là “trình duyệt lớn đầu tiên khiến các cuộc tấn công này trở nên lỗi thời”. Điều này được thực hiện bằng cách phân chia lịch sử liên kết “:visited” thành ba phần riêng biệt. Thay vì lưu trữ các lượt truy cập liên kết một cách toàn cầu, Chrome sẽ chia mỗi liên kết đã truy cập bằng ba khóa sau:
- URL của liên kết (Link URL)
- Trang web cấp cao nhất (Top-Level Site)
- Nguồn gốc khung (Frame Origin)
Ví dụ minh họa cách Chrome phân vùng lịch sử liên kết ":visited" để bảo vệ quyền riêng tư người dùng
Sự phân chia này đảm bảo rằng một liên kết sẽ chỉ xuất hiện dưới dạng đã truy cập trên cùng trang web và trong cùng nguồn gốc khung (nghĩa là trang mà bạn đã nhấp vào liên kết trước đó) nơi bạn đã nhấp vào nó. Có một ngoại lệ “self-links”, nghĩa là các liên kết đã truy cập của một trang web sẽ vẫn được đánh dấu phù hợp, ngay cả khi bạn nhấp vào chúng từ một trang web khác.
Nói cách khác, một liên kết sẽ chỉ được hiển thị là “:visited” nếu bạn đang ở trên một trang web mà bạn đã nhấp vào liên kết đó trước đây. Điều này sẽ ngăn chặn các trang web độc hại theo dõi lịch sử duyệt web của bạn bằng cách lập bản đồ tất cả các trang được trình duyệt đánh dấu là đã truy cập.
Kích Hoạt Tính Năng Bảo Vệ Ngay Bây Giờ (Phiên bản thử nghiệm)
Mặc dù Chrome phiên bản 136 chưa được phát hành rộng rãi tại thời điểm hiện tại, nhưng tính năng này đã có mặt trong Chrome dưới dạng cờ thử nghiệm (experimental flag) kể từ phiên bản 132. Để kích hoạt nó, bạn có thể làm theo các bước đơn giản sau:
- Sao chép và dán địa chỉ sau vào thanh URL của Chrome: chrome://flags/#partition-visited-link-database-with-self-links
- Chọn Enabled (Đã bật) cho cờ này.
Lưu ý rằng tính năng này vẫn đang trong giai đoạn thử nghiệm, vì vậy có thể nó sẽ không hoạt động như mong đợi trên tất cả các trang web và thậm chí có thể gây ra lỗi cho một số trang cố gắng truy cập lịch sử duyệt web của bạn. Bắt đầu từ phiên bản 136, tính năng này sẽ được bật mặc định. Tuy nhiên, chức năng cũ sẽ không bị loại bỏ hoàn toàn, vì Google cho rằng việc loại bỏ nó sẽ xóa đi các gợi ý giao diện người dùng có giá trị.
Nếu bạn đang sử dụng một trình duyệt dựa trên Chromium khác, bạn có thể sẽ phải đợi tính năng này được cập nhật. Trong thời gian chờ đợi, bạn có thể sao chép và dán URL trên để kiểm tra xem trình duyệt của mình có hỗ trợ tính năng này hay không.
Kết Luận
Việc Chrome tiên phong giải quyết vấn đề rò rỉ lịch sử duyệt web qua “:visited” link là một bước tiến quan trọng trong việc bảo vệ quyền riêng tư trực tuyến của người dùng Việt nói riêng và toàn cầu nói chung. Với cơ chế phân vùng lịch sử liên kết thông minh, người dùng có thể an tâm hơn khi duyệt web mà không lo ngại lịch sử cá nhân bị lạm dụng bởi các trang web độc hại.
Đây là một minh chứng rõ ràng cho cam kết của Google trong việc cải thiện bảo mật và quyền riêng tư trên Internet. Hãy cập nhật Chrome lên phiên bản mới nhất hoặc kích hoạt tính năng thử nghiệm ngay hôm nay để trải nghiệm sự bảo vệ nâng cao này và đóng góp vào một môi trường duyệt web an toàn hơn.
