Bạn trang bị cho trình duyệt các tiện ích lọc nội dung chuyên dụng, kích hoạt chế độ bảo vệ quyền riêng tư nghiêm ngặt và cấu hình danh sách chặn tên miền tùy chỉnh. Khi bạn lướt qua các cổng thương mại điện tử hoặc trang báo điện tử quen thuộc, những tên miền tiếp thị bên thứ ba quen mặt hoàn toàn vắng bóng trên thanh kiểm tra lưu lượng mạng. Thế nhưng ẩn sau giao diện yên bình đó, dấu vết hành vi lướt web, tương tác nhấp chuột, dữ liệu giỏ hàng và cả mã nhận dạng cá nhân vẫn đều đặn truyền thẳng về các máy chủ phân tích quảng cáo. Trình diệt virus không phát tín hiệu cảnh báo, và trình duyệt vẫn hiển thị chứng chỉ kết nối hợp lệ. Thiết bị của bạn không hề nhiễm phần mềm độc hại; nó chỉ đang đối mặt với một màn ảo thuật kiến trúc tinh vi mang tên CNAME Cloaking.

CNAME Cloaking (ngụy trang bằng bản ghi bí danh DNS) đánh dấu một bước chuyển dịch có tính toán của ngành công nghiệp theo dõi người dùng. Khi các trình duyệt hiện đại lần lượt khai tử cookie bên thứ ba và siết chặt các thư viện mã chạy chéo trang (cross-site scripting), các tập đoàn quảng cáo nhận ra phương thức giám sát truyền thống đang sụp đổ. Để duy trì cỗ máy thu thập dữ liệu, họ thuyết phục các chủ sở hữu trang web ngụy trang các điểm tiếp nhận dữ liệu ngoại vi thành tên miền con nội bộ (first-party) thông qua cơ chế ủy quyền của hệ thống phân giải tên miền. Thấu hiểu bản chất của hình thức ngụy trang này là bước đi cốt lõi để giữ an toàn dữ liệu và quyền riêng tư khi trực tuyến.

Bản chất kiến trúc: Biến đối tác thứ ba thành thực thể nội bộ

Để hiểu rõ CNAME Cloaking, trước hết cần nhìn lại cách các trình duyệt phân chia ranh giới tin cậy thông qua Chính sách cùng nguồn gốc (Same-Origin Policy). Trong kiến trúc bảo mật web căn bản, một nguồn gốc được định nghĩa bởi giao thức, tên miền và cổng mạng. Trình duyệt cho phép trao đổi dữ liệu phong phú giữa các thành phần cùng nguồn gốc, nhưng cô lập nghiêm ngặt các nguồn gốc khác nhau. Một đoạn mã chạy trên example.com có thể đọc cookie cấp phát cho example.com, nhưng trình duyệt tuyệt đối cấm một trang bên thứ ba như adnetwork.net can thiệp vào kho lưu trữ đó.

Trong nhiều năm, các mạng quảng cáo dựa vào các yêu cầu tải mã chéo trang. Họ tải tập lệnh từ máy chủ riêng và thiết lập cookie bên thứ ba nhằm theo dõi hành vi xuyên suốt nhiều trang web khác nhau. Khi các trình duyệt chú trọng quyền riêng tư bắt đầu chặn quyền truy cập bộ nhớ của bên thứ ba, ngành quảng cáo đã sáng tạo ra kỹ thuật CNAME Cloaking như một công cụ né tránh có hệ thống.

Kỹ thuật này khai thác bản ghi Tên quy chuẩn (Canonical Name - CNAME) trong hệ thống phân giải tên miền DNS. Về nguyên lý, bản ghi CNAME đóng vai trò như một bí danh chuyển hướng, báo cho máy chủ DNS biết rằng các truy vấn gửi tới tên miền này cần được phân giải sang địa chỉ của một tên miền đích khác. Trong mô hình CNAME Cloaking, chủ sở hữu trang web thiết lập một tên miền con dành riêng ngay trên vùng DNS có thẩm quyền của họ:

metrics.retailer.com.  CNAME  client.external-tracker.net.

Khi người dùng truy cập retailer.com, trang web thực thi đoạn mã JavaScript gửi dữ liệu đo lường hành vi tới metrics.retailer.com. Dưới góc nhìn của tầng mạng trên trình duyệt, metrics.retailer.com hoàn toàn thuộc về tên miền gốc bên thứ nhất. Trình duyệt coi đây là thành phần nội bộ hợp pháp của website, đồng ý cho kết nối diễn ra mà các bộ lọc nội dung thông thường không hề ngăn lại.

[ Khách hàng trên Trình duyệt ]
       |
       |  POST https://metrics.retailer.com/collect
       v
[ Máy chủ DNS ]
       |  Tra cứu metrics.retailer.com -> CNAME client.external-tracker.net
       v
[ Máy chủ theo dõi bên ngoài (external-tracker.net) ]

Bởi vì tầng phân giải tên miền của hệ điều hành xử lý bản ghi CNAME một cách tự động và trong suốt, tầng ứng dụng của trình duyệt chỉ nhìn thấy tên miền con được yêu cầu. Máy chủ quảng cáo bên ngoài đã đóng giả thành công một thành phần nội bộ, thu thập dòng dữ liệu trực tiếp dưới danh nghĩa một công cụ đo lường số liệu của trang web.

Mặc dù các đơn vị cung cấp dịch vụ tiếp thị quảng bá CNAME Cloaking như một giải pháp đo lường vô hại, các nhà nghiên cứu khoa học máy tính độc lập đã ghi nhận nhiều lỗ hổng quyền riêng tư và bảo mật nghiêm trọng do kỹ thuật này gây ra. Các công trình nghiên cứu thực nghiệm quy mô lớn được công bố tại Hội thảo An ninh USENIX và Hội nghị Đo lường Internet ACM đã kiểm tra hàng nghìn trang web hàng đầu và chỉ ra những nguy cơ đáng báo động.

Hậu quả nguy hiểm nhất của CNAME Cloaking bắt nguồn từ cơ chế gán phạm vi của cookie HTTP đối với các tên miền con. Khi các ứng dụng web thiết lập cookie phiên làm việc hoặc mã cấp quyền truy cập, các lập trình viên thường định cấu hình thuộc tính Domain dạng tiền tố dấu chấm hoặc bao trùm toàn bộ tên miền cha (ví dụ domain=.retailer.com). Mô hình này giúp duy trì phiên đăng nhập liền mạch giữa nhiều cổng dịch vụ, chẳng hạn như từ trang danh mục sang giỏ hàng hay bảng thông tin tài khoản.

Thế nhưng khi một đơn vị theo dõi bên ngoài vận hành đằng sau tên miền con ngụy trang như analytics.retailer.com, trình duyệt sẽ tự động đính kèm tất cả các cookie có phạm vi tên miền cha vào tiêu đề yêu cầu HTTP gửi tới tên miền con đó. Điều này đồng nghĩa với việc thông tin xác thực nhạy cảm, mã định danh phiên, mã ủy quyền và thông tin định danh nội bộ đều bị truyền thẳng tới máy chủ của công ty quảng cáo. Bên thứ ba vốn chỉ được thuê để thống kê số lượt xem trang vô tình hoặc cố ý sở hữu chìa khóa giúp mạo danh phiên đăng nhập của người dùng.

2. Nguy cơ từ chuỗi cung ứng và chèn mã độc chéo trang

Khi ủy quyền một tên miền con cho một nhà cung cấp hạ tầng bên ngoài quản lý, tổ chức đã tự mở rộng bề mặt tấn công của chính mình. Nếu công ty theo dõi bên thứ ba gặp sự cố máy chủ bị xâm nhập, tên miền hết hạn chưa kịp gia hạn, hoặc cấu hình tài nguyên đám mây lỏng lẻo, kẻ tấn công có thể chiếm quyền điều khiển và dựng dịch vụ độc hại ngay trên tên miền con được ủy quyền đó.

Do điểm cuối bị kiểm soát vẫn mang danh nghĩa tên miền nội bộ, kẻ tấn công có thể chèn mã độc chéo trang (XSS), thu hoạch thông tin thanh toán, hoặc phát tán mã độc với sự bảo chứng đầy đủ từ chứng chỉ mã hóa TLS của trang web chính. Các đợt quét an ninh mạng học thuật đã phát hiện hàng trăm bản ghi CNAME mồ côi trỏ vào các máy chủ theo dõi đã bị bỏ hoang, tạo thành lỗ hổng chiếm quyền tên miền con đặc biệt nguy hiểm.

3. Vùng mù của các tiện ích lọc trên trình duyệt

Các tiện ích mở rộng lọc nội dung truyền thống hoạt động dựa trên các giao diện lập trình ứng dụng (API) của trình duyệt, chẳng hạn như khung webRequest hoặc declarativeNetRequest. Các bộ lọc này đối chiếu địa chỉ URL của yêu cầu với danh sách đen do cộng đồng duy trì. Khi gặp một yêu cầu gửi tới telemetry.newsoutlet.com, bộ lọc chỉ thấy đây là một tài nguyên nội bộ của trang web.

Trừ khi nền tảng trình duyệt cung cấp cơ chế can thiệp sâu vào tầng phân giải tên miền—vốn là giao diện thường bị hạn chế hoặc không tồn tại trên các trình duyệt nền tảng Chromium—các tiện ích mở rộng không thể biết được đích đến CNAME thực sự ẩn phía sau. Do đó, các quy tắc lọc tại máy khách trở nên vô hiệu trước các điểm tiếp nhận dữ liệu ngụy trang, cho phép các đoạn mã theo dõi thu thập thói quen người dùng mà không bị cản trở.

Phòng vệ tầng mạng và giải pháp DNS mã hóa

Đối phó với kỹ thuật CNAME Cloaking đòi hỏi một chiến lược bảo mật đa tầng, chuyển dịch trọng tâm kiểm soát từ lớp URL bề mặt của trình duyệt xuống tầng vận chuyển mạng và phân giải DNS.

1. Bóc tách ngụy trang tại tầng DNS (DNS Uncloaking)

Các bộ lọc nội dung thế hệ mới và các máy chủ DNS chuyên dụng triển khai cơ chế giải mã CNAME đệ quy (DNS Uncloaking). Thay vì chấp nhận tên miền con theo mặt chữ, máy chủ phân giải sẽ truy vấn sâu toàn bộ chuỗi ủy quyền DNS để tìm ra đích đến cuối cùng của bản ghi. Nếu địa chỉ thực tế trùng khớp với một máy chủ của đơn vị theo dõi nằm trong danh sách đen, máy chủ phân giải sẽ lập tức phản hồi trạng thái từ chối (NXDOMAIN) hoặc chuyển hướng an toàn, chặn đứng kết nối trước khi dữ liệu kịp rời khỏi thiết bị.

Mặc dù một số trình duyệt có thể khai thác các API phân giải chuyên biệt, biện pháp phòng thủ toàn diện cho mọi thiết bị là thực hiện việc bóc tách này ngay tại cửa ngõ phân giải DNS của mạng, bảo vệ đồng bộ từ trình duyệt máy tính đến các ứng dụng trên điện thoại di động.

2. Biện pháp kỹ thuật dành cho nhà phát triển web

Các nhà quản trị web cần điều chỉnh chính sách quản lý cookie để ngăn ngừa thất thoát dữ liệu:

  • Thu hẹp phạm vi cookie: Hạn chế sử dụng tên miền bao trùm như domain=.example.com. Chỉ cấp phát cookie cho đúng tên miền cụ thể thực sự cần xử lý phiên đăng nhập.
  • Kích hoạt thuộc tính SameSite: Bổ sung thuộc tính SameSite=Strict hoặc SameSite=Lax đi kèm cờ Secure và HttpOnly cho toàn bộ mã định danh nhạy cảm nhằm ngăn chặn việc tự động gửi dữ liệu xác thực sang các ngữ cảnh khác.
  • Rà soát định kỳ bản ghi DNS: Định kỳ kiểm tra vùng DNS để phát hiện và gỡ bỏ các bản ghi CNAME không còn sử dụng, triệt tiêu nguy cơ chiếm đoạt tên miền mồ côi.

3. Bảo vệ toàn diện với đường hầm mã hóa VPNRice

Việc chỉ dựa vào cấu hình trình duyệt đơn lẻ luôn để lại nhiều khoảng trống trên ứng dụng di động, các tiến trình chạy ngầm và thiết bị thông minh. Biện pháp vững chắc nhất để vô hiệu hóa các chiêu thức theo dõi ngầm và thao túng DNS là dẫn truyền toàn bộ dữ liệu qua đường hầm mã hóa của VPNRice.

Khi kết nối với VPNRice thông qua các giao thức bảo mật tiên tiến như RiceGuard hoặc RiceGuardX, mọi truy vấn tên miền đều tách rời khỏi các máy chủ phân giải không mã hóa của mạng cục bộ hay nhà mạng viễn thông. Từng gói tin DNS được bao bọc an toàn trong đường hầm mã hóa xác thực gửi thẳng tới cụm máy chủ phân giải DNS riêng tư của VPNRice. Hệ thống máy chủ chuyên dụng sẽ tự động phân tích đệ quy các chuỗi CNAME, vô hiệu hóa các liên kết ngụy trang trước khi mã tiếp thị kịp gửi dữ liệu người dùng ra bên ngoài.

Để kiểm tra xem môi trường mạng hiện tại có để rò rỉ điểm kết nối hoặc lộ dấu vết theo dõi hay không, bạn có thể kiểm tra đường truyền thông qua công cụ kiểm tra rò rỉ WebRTC và theo dõi thông tin định tuyến tại trang tra cứu địa chỉ IP. Kết hợp giữa mã hóa đường truyền mạnh mẽ và cơ chế lọc sâu tại tầng DNS sẽ vô hiệu hóa hoàn toàn các kỹ thuật ngụy trang tên miền, giữ cho dấu chân số của bạn luôn an toàn trước sự dòm ngó của các mạng lưới theo dõi thương mại.