Cloudflare Turnstile ép dùng WebGL: Phốt 'lùa gà' hay giọt nước tràn ly của thời đại AI bot?

Chào các đồng đạo. Dạo này anh em lướt web có thấy mấy cái trang xài bảo mật của Cloudflare cứ quay đều quay đều, check bot mệt nghỉ không? Xưa nay thằng Cloudflare luôn vỗ ngực tự xưng hệ thống Turnstile của nó là "cứu tinh" bảo mật, diệt CAPTCHA mà vẫn giữ trọn vẹn privacy cho anh em. Cơ mà nực cười thay, giang hồ vừa phanh phui một vố tát thẳng mặt: Cái "cứu tinh" này dường như đang âm thầm ép người dùng phải mở WebGL để cho nó "nhận dạng" (fingerprinting). Ảo ma chưa? Lên trà đá hóng phốt nào!

Nguồn cơn drama từ đâu mà ra?

Chuyện là một pháp sư ẩn danh trên trang Hacktivis vừa đăng đàn bóc phốt hệ thống Turnstile. Tóm tắt nhanh cho anh em lười đọc thì nó thế này:

• Khi Turnstile mới ra mắt, Cloudflare gáy rất to rằng đây là giải pháp thay thế CAPTCHA xịn xò con bò, không bắt user phải căng mắt tìm đèn giao thông hay vạch qua đường, và ĐẶC BIÊT là rất tôn trọng quyền riêng tư.
• Tuy nhiên, tác giả bài blog phát hiện ra: Nếu anh em dùng các trình duyệt hardening (như Tor, LibreWolf) hoặc cài extension tắt WebGL để chống theo dõi (anti-fingerprinting), Turnstile sẽ block anh em thẳng tay với lý do: "Mày là bot!".
• Tức là, để chứng minh mình là người, bạn bắt buộc phải nôn thông tin phần cứng/trình duyệt ra cho hệ thống nó soi (gọi là WebGL fingerprinting).
• Không cho soi? Đ*o cho vào web. Nghịch lý ở chỗ, một công cụ gắn mác "privacy-friendly" lại xài trò fingerprinting – cấm kỵ số một của giới mộ đạo privacy.

Giang cư mận Hacker News chia phe combat

Bài bóc phốt này vừa lên Hacker News đã bú ngay gần 500 upvote, kéo theo một màn combat nảy lửa giữa các hệ tư tưởng. Có vài quan điểm đang chiếm sóng mà tôi tổng hợp được:

• Phe Tôn Thờ Privacy (Chửi thẳng mặt): Phe này thì cay cú khỏi bàn. Họ chửi Cloudflare "lùa gà", treo đầu dê bán thịt chó. Mồm thì bô bô bảo vệ quyền riêng tư người dùng, tay thì đi soi card đồ họa với driver của người ta. Một số anh em còn đòi tẩy chay, kêu gọi webmaster ngưng xài Turnstile.
• Phe Dev Thực Dụng (Thông cảm): "Các ông nội bớt mộng mơ đi". Giờ bot AI khôn như rận, headless browser chạy ầm ầm. Nếu không soi phần cứng qua WebGL thì lấy cái mẹ gì ra để phân biệt bot với người? Để bảo vệ server khỏi bị DDoS sập nguồn, Cloudflare bắt buộc phải xài tà đạo thôi. Đời làm gì có cái gì vừa siêu bảo mật lại vừa ẩn danh 100%.
• Phe Anti Độc Quyền (Trầm cảm): Một luồng ý kiến khác thì ngao ngán về việc Cloudflare đang nắm giữ quá nhiều quyền lực trên Internet. Nếu một tay to như vậy quyết định rằng "không có WebGL thì không được duyệt web", thì chẳng chóng thì chầy, cả cái internet này sẽ loại bỏ quyền ẩn danh của người dùng.

Góc nhìn từ Coding4Food: Bài học sinh tồn sau vụ úp sọt

Tóm cái váy lại, vụ này ai đúng ai sai thì hạ hồi phân giải, tùy thuộc vào việc các ông ưu tiên cái gì hơn: Bảo mật cho hệ thống hay Quyền ẩn danh của bản thân. Nhưng đứng ở góc độ một thằng thợ code, vãn bối xin rút ra vài dòng thế này:

Thứ nhất, đừng bao giờ tin 100% vào văn vở marketing của mấy ông lớn. "Privacy-preserving" chỉ là một khái niệm mang tính tương đối cho đến khi server của họ bị bot cắn RAM tơi bời.

Thứ hai, khi anh em làm project, dựng vps hay setup third-party auth cho khách, hãy nhớ test kĩ các edge cases. Nếu tích hợp những hệ thống anti-bot quá gắt, anh em có thể vô tình khóa mõm luôn những khách hàng thật - những người chỉ đơn giản là thích xài trình duyệt chặn theo dõi. Bài toán cân bằng giữa Security (bảo mật) và UX (trải nghiệm người dùng) luôn là một cú lừa đau đầu, không có silver bullet đâu anh em ạ.

Nguồn hóng hớt: Hacker News