Cách trang web biết bạn ở đâu

Kênh 1: lời nhắc xin quyền (chính xác, cần bạn đồng ý)

Cách duy nhất để một trang web lấy được vị trí chính xác của bạn là Geolocation API của trình duyệt — lời nhắc 'Cho phép trang này truy cập vị trí của bạn?'. Đằng sau nó, hệ điều hành kết hợp tín hiệu GPS, Wi-Fi và sóng di động (xem độ chính xác của GPS hoạt động ra sao) rồi trao cho trang một bộ tọa độ, thường sai số vài mét. Hai điều người ta hay hiểu sai: một trang web không thể gọi nó âm thầm — quyền được cấp riêng cho từng trang, có thể thu hồi, và hiện rõ trên thanh địa chỉ — và 'khi đang dùng' đúng nghĩa là như vậy; API không cho phép theo dõi nền từ một thẻ trình duyệt. Trang này dùng đúng kênh đó khi bạn nhấn nút định vị, và tọa độ không bao giờ rời khỏi trình duyệt: các trang tra cứu được xây dựng để vị trí hiển thị phía máy khách, chứ không ghi log.

Kênh 2: địa chỉ IP của bạn (thô, tự động)

Mọi máy chủ bạn kết nối tới đều nhìn thấy địa chỉ IP của bạn — buộc phải vậy, để còn gửi phản hồi về. Các cơ sở dữ liệu thương mại ánh xạ từng khối IP tới địa điểm, và đó là cách một trang đoán ra thành phố của bạn mà không cần hỏi gì. Nó thô và thường sai: mức quốc gia thì thường đúng, mức thành phố thì lúc trúng lúc trượt, còn mức nhà thì không bao giờ. Xem IP của bạn tiết lộ những gì tại trang địa chỉ IP của tôi, và đọc vì sao vị trí theo IP hay sai đến thế để hiểu cơ chế. Cách duy nhất để đổi thứ mà kênh này hiển thị là đổi IP biểu kiến của bạn — VPN hoặc Tor — vì nó nằm dưới tầng cài đặt trình duyệt. VPN của bạn có thật sự che được hay không thì kiểm tra được tại công cụ kiểm tra VPN.

Kênh 3: những gì bạn tải lên (ảnh, tệp, bài đăng)

Điện thoại mặc định nhúng tọa độ GPS vào siêu dữ liệu ảnh (EXIF). Chia sẻ tệp gốc là bạn chia sẻ luôn nơi đã chụp — đôi khi tới từng căn phòng. Tin tốt: các ứng dụng nhắn tin và mạng xã hội lớn đều xóa EXIF khi tải lên, nên chỗ rò rỉ phổ biến lại là gửi tệp trực tiếp, tệp đính kèm email, liên kết đám mây và tin rao vặt. Công cụ vị trí ảnh của chúng tôi đọc EXIF của một bức ảnh hoàn toàn trong trình duyệt để bạn thấy tệp đó sẽ tiết lộ những gì, và tải về bản sao đã xóa GPS. Tệp GPX/KML xuất từ ứng dụng thể thao cũng đáng dè chừng như vậy — bản đồ nhiệt đường chạy bắt đầu và kết thúc ngay trước cửa nhà chính là một địa chỉ.

Dấu vân tay số: người anh em lặng lẽ hơn của vị trí

Ngoài vị trí, các trang web còn có thể cố nhận ra chính bạn qua nhiều lần ghé thăm bằng cách ghép những đặc điểm mà trình duyệt phơi bày sẵn — kích thước màn hình, phông chữ, chuỗi GPU, múi giờ, danh sách ngôn ngữ, nét vẽ canvas. Không đặc điểm nào một mình nhận diện được bạn; nhưng tổ hợp của chúng thì thường có. Riêng múi giờ đã để lộ khu vực của bạn ngay cả khi đứng sau VPN, và đó là một trong những phép kiểm tra mà công cụ kiểm tra VPN của chúng tôi thực hiện. Hãy chạy bài kiểm tra riêng tư trình duyệt để xem bề mặt dấu vân tay của chính bạn và liệu WebRTC có làm lộ IP thật hay không — hai phép thử quan trọng nhất, chạy cục bộ ngay trong trình duyệt.

Danh sách cài đặt cho người tỉnh táo

Năm phút vệ sinh là lo được gần hết. Rà lại quyền vị trí của các trang (Chrome: Cài đặt → Quyền riêng tư → Cài đặt trang web → Vị trí; Safari: Cài đặt → Trang web → Vị trí; Firefox: Cài đặt → Quyền riêng tư & Bảo mật → Quyền) và gỡ những trang bạn không nhận ra. Đặt chế độ gắn thẻ GPS của máy ảnh theo ý bạn — bạn có thể để bật rồi xóa dữ liệu ở từng lần chia sẻ. Nếu dùng VPN, hãy xác minh bằng các bài kiểm tra rò rỉ ở trên thay vì tin vào tấm khiên xanh trong ứng dụng. Và hãy hiệu chỉnh thay vì hoảng sợ: kênh xin quyền cần bạn đồng ý, kênh IP chỉ thô ở mức thành phố, còn kênh tải lên nằm trong tay bạn. Việc một trang web theo dõi GPS của bạn một cách chính xác, âm thầm và ngoài ý muốn không phải là cách nền tảng web vận hành.