Tại sao trình duyệt cần harden?
Trình duyệt web là cửa ngõ chính giữa bạn và internet — cùng lúc là công cụ mạnh nhất và điểm yếu bảo mật lớn nhất. Một cấu hình mặc định (out-of-the-box) của Chrome hay Firefox có thể tiết lộ hàng trăm signal fingerprinting, gửi telemetry về nhà cung cấp, và cho phép hàng nghìn tracker theo dõi mỗi phiên duyệt web. Theo report của Ghostery, trang web trung bình chứa 12+ tracker, phần lớn không có sự đồng thuận rõ ràng từ người dùng.
Hardening trình duyệt không phải là “ẩn danh hoàn toàn” — mà là giảm attack surface đến mức tối thiểu có thể. Mục tiêu: zero telemetry, minimal fingerprint entropy, no 3rd-party cookies, và mọi traffic đi qua encrypted DNS. Bạn không cần phải là technical expert để áp dụng — hầu hết các bước dưới đây đều có thể thực hiện trong 15 phút bằng các extension và file config.
Một số người dùng cho rằng VPN thay thế browser hardening — điều này không chính xác. VPN mã hóa traffic network-level nhưng không chặn JavaScript tracker, fingerprinting, hay telemetry mà browser gửi đi. Hardening và VPN là bổ sung, không thay thế lẫn nhau. Kết hợp cả hai mới tạo lớp bảo vệ đa tầng thực sự.
Lớp 1: Mạng & DNS — Đóng khung tất cả traffic
DNS truyền thống (UDP 53) gửi mọi domain bạn truy cập dạng plaintext cho ISP. Bật DNS over HTTPS (DoH) hoặc DNS over TLS (DoT) mã hóa layer này, ngăn man-in-the-middle trên mạng LAN hoặc ISP sniffing. Firefox hỗ trợ DoH native; Chrome cần cấu hình via System Preferences hoặc Chrome Policies.
Bên cạnh DoH/DoT, tắt WebRTC leak (Firefox: media.peerconnection.enabled = false; Chrome: WebRtcLocalIpsAllowedUrls) — vì nếu không, IP thực của bạn vẫn lộ dù đã bật VPN. Tắt preconnect, prefetch, và speculative connections nữa: các tính năng này tối ưu tốc độ bằng cách kết nối sẵn trước, nhưng phát sinh HTTP requests mà bạn không chủ động click. Kiểm tra bằng tab Network trong DevTools: nếu thấy request tới domain bạn chưa mở, đó là speculation.
Lớp 2: Content Blocking — uBlock Origin + Lists
uBlock Origin là trình chặn nội dung hiệu quả nhất hiện nay, sử dụng ít RAM hơn AdBlock Plus nhờ dùng static filter lists thay vì runtime matching. Để bảo vệ tối đa, cấu hình 3 danh sách:
- EasyList: chặn quảng cáo chính trên toàn web.
- EasyPrivacy: chặn tracker (analytics, social widgets, beacons).
- uBlock filters — Privacy: chặn preconnect, noscript traps, canvas fingerprinting attempts cơ bản.
Mở thêm “Annoyances” và “Anti-Adblock” lists để loại bỏ cookie consent popups và bypass các trang web phát hiện adblocker. Bật “Block 3rd-party frames” và “Block 3rd-party cookies” trong settings để ngăn cross-site tracking.
Kết hợp Cookie AutoDelete (extension) tự xóa cookies khi đóng tab, giữ lại chỉ 1st-party cookies — hạn chế session hijack và long-term fingerprinting. Kết hợp với Temporary Containers (Firefox) để mỗi tab có cookie storage riêng biệt, ngăn cross-site tracking cấp session. Trên Chrome, dùng Session Buddy hoặc Multiple Profiles để tương tự.
Lớp 3: Cấu hình Nâng Cao — Firefox user.js vs Chrome Policies
Firefox có lợi thế lớn nhờ file user.js trong profile directory. Bạn chỉ cần copy file arkenfox user.js (90+ pre-tuned preferences) vào profile, restart browser — và gần như mọi telemetry, fingerprint vector bị disabled trong 2 phút. Các preference quan trọng:
datareporting.healthreport.uploadEnabled = falsetoolkit.telemetry.enabled = falsebrowser.newtabpage.activity-stream.feeds.telemetry = falsemedia.peerconnection.ice.default_address_only = true
Chrome không có user.js tương đương, nhưng Enterprise Policy Manager hỗ trợ nhiều cấu hình hữu ích qua JSON manifest:
URLBlocklist: chặn domain tracking (doubleclick.net, google-analytics.com).ExtensionInstallForcelist: auto-install uBlock Origin cho mọi user.DnsOverHttpsMode: “secure” (Chrome 113+).
Đánh giá hiệu quả hardening
Sau khi áp dụng 3 lớp, kết quả đo bằng CoverYourTracks (EFF) thường cho thấy:
- Tracking calls giảm từ ~50-120 requests/trang xuống <5 requests.
- Fingerprint uniqueness tăng lên (xấu) → dùng fingerprint randomization extension (Chameleon, CanvasBlocker) nếu cần.
- Không có request gửi về google.com/mozilla.org ngoài trừ khi bạn bật sync.
- DNS queries đều đi qua 1.1.1.1 (Cloudflare) hoặc 9.9.9.9 (Quad9) — không plaintext.
- Lưu ý: Safari trên iOS không thể harden tương đương vì WebKit engine giới hạn extension capability — chỉ có AdGuard iOS và content blockers đơn giản.
Hardening browser không phải là một lần setup rồi quên — bạn cần review định kỳ mỗi 3-6 tháng: extension updates thay đổi permission, browser engine updates thêm fingerprint vectors mới, và filter lists cần refresh để chặn tracker mới phát sinh. Đặt reminder vào calendar để không bỏ sót bảo trì định kỳ này.
