Mở đầu, lý do thực hiện dé tài, mục tiêu luận văn, một số nghiên cứu liên quan, đóng góp chính của luận văn và bố cục của luận văn. * Chương 2: Trinh bày về cơ sở lý thuyết thuộc phạm vi dé tài. Giới thiệu về HTTP cookie; trình duyệt web và các cấu hình liên quan cookies; Quyên riêng tư dữ liệu. * Chương 3: Trinh bày về phương pháp thực hiện.
* Chương 4: Trình bày về thiết lập thực nghiệm, kết quả thực nghiệm và nhận định. * Chương 5: Trình bày kết luận. Chương 2 CƠ SỞ LÝ THUYET 2.1 Quyền riêng tư dữ liệu Theo NIST ! Quyên riêng tư dữ liệu là khả năng của một cá nhân có thể quan lý (duy trì kiểm soát và bảo mật thông tin) về dữ liệu cá nhân của mình. Đây được xem là quyền của cá nhân; mặc dù phạm vi của quyền này, đặc biệt là ý nghĩa chính xác của những thành phần thuộc thông tin cá nhân vẫn đang là một chủ đề được thảo luận.
Trong lĩnh vực công nghệ thông tin, quyền riêng tư thường liên quan đến hai yếu tố sau: * Tinh bảo mật: Đặc tính mà dữ liệu hoặc thông tin không thể bị truy cập hoặc được tiết lộ cho những người hoặc quy trình không có quyền thực hiện hành động. * Tinh ẩn danh: Điều kiện trong việc định danh mà theo đó một thực thể có thể được nhận diện là khác biệt, không bao gồm thông tin định danh để liên kết đến một danh tính đã biết. Dữ liệu sử dung (Usage data) Trong phạm vi Internet, khái niệm dữ liệu sử dụng mang ý nghĩa là những dữ liệu được sinh ra khi người dùng sử dụng các trình duyệt web như: những trang web họ đã truy cập, những chủ đề người dùng đã tìm kiếm, hay thời gian mà người dùng dã xem một chủ dé,. Bên cạnh dữ liệu cá nhân, dữ liệu sử dụng của người dùng cũng rất có giá trị và quan trọng, tuy nhiên dữ liệu này thường được thu thập khi chưa được sự đồng ý của người dùng.
Giới thiệu về HTTP cookie 2.1 Tổng quan HTTP là giao thức tiêu chuẩn cho web - được phát minh với ý tưởng ban đầu khá đơn giản: khi kết nối được mở ra, client sẽ gửi một yêu cầu cho một tập tin đến máy chủ, và máy chủ sẽ gửi lại một tập tin cho client, sau đó đóng kết nối. INIS ional Institute of Standards and Technology (NIST), US. Department of Commerce - Viện Tiêu chuẩn va Công nghệ Quốc gia, thuộc Sở Thương mại Hoa Kỳ 14 Cookie là một loại dit liệu nhỏ được lưu trữ trên trình duyệt của người dùng khi họ truy cập các trang web. Cookie có thể được sử dụng để theo dõi và cá nhân hóa trải nghiệm trực tuyến của người dùng.
HTTP cookie được phát minh vào năm 1994, bởi Louis J "Lou" Montulli với mục đích giúp các trang web ghi nhớ tuỳ chọn và lịch sử truy cập và mua sắm của khách hàng[16]. Tuy nhiên, theo thời gian cookies đã được sử dụng với nhiều mục đích khác so với ban đầu. Năm 1996, một số mối quan ngại được đưa ra về việc cookies lưu trữ thông tin cá nhân trên máy tính của người dùng mà không có sự đồng ý của người dùng hoặc người dùng không hề hay biết. Cho đến nay, cookies vẫn liên quan đến những van dé về xâm phạm quyền riêng tư dữ liệu như theo doi người dùng liên trang, quảng cáo, thống kê,.
Trong đó, cookie của bên thứ ba được xem là mối quan tâm chính gây ra những vi phạm này. Tuy nhiên, nghiên cứu [2] gần đây chỉ ra rằng cookie của bên thứ ba không phải là loại cookie duy nhất vi phạm quyén riêng tư dữ liệu. Ngày nay, với sự phát triển của thương mại điện tử và tiếp thị số, HTTP cookie càng đóng một vai trò quan trọng trong việc phân tích hành vi khách hàng dựa trên dữ liệu thu thập. Từ năm 2002 đến nay, các luật về Quy định bảo vệ dữ liệu chung (GDPR) của EU, ePrivacy, Đạo luật về quyên riêng tư của người tiêu dùng ở California (CCPA, California, 2018), Đạo luật thực thi kỹ thuật số (DCIA, Canada, 2020), Luật bảo vệ dữ liệu cá nhân (PIPL, Trung Quốc, 2021), Đạo luật liên ban mới về bảo vệ dữ liệu (nFAPD, Switzerland, 2023), Nghị định 3/2023/ND-CP bảo vệ dữ liệu cá nhân (2023, Việt Nam) hay một số luật cụ thể Quy tắc bảo vệ dữ liệu sức khoẻ chuẩn Hoa Kỳ (HIPAA, lĩnh vực sức khoẻ, Mỹ), Đạo luật Gramm-Leach-Bliley (lĩnh vực ngân hàng, Mỹ) đã được ban hành và áp dụng cho thấy sự quan tâm của các cơ quan có thẩm quyền về vấn dé bảo mật thông tin cá nhân và quyên riêng tư dữ liệu.
Nguyên lý hoạt động của cookie Hình 2.1 thể hiện nguyên lý hoạt động của cookie, cụ thể gồm các bước như sau: 1. Khi người dùng lần đầu tiên truy cập một trang web, máy người dùng sẽ gửi một yêu cầu đến máy chủ. Máy chủ nhận yêu cau và sẽ gửi một phản hôi đính kèm cookie đến trình duyệt của người dùng. Trình duyệt nhận và lưu cookie này trên máy tính của người dùng.
Khi người dùng truy cập trang web ở những lần tiếp theo, trình duyệt sẽ gửi lại cookie từ máy người dùng cho máy chủ. Máy chủ sẽ đọc cookie để nhận dạng người dùng và tải các tùy chọn người dùng đã chọn trước đó. Theo cơ chế, trình duyệt web sẽ gửi toàn bộ cookies đã được tạo ra bởi một trang web cùng với mỗi 15 (1)Gửi yêu cầu (2)Phản hổi *® (3)Gui yêu cầu —— Trình duyệt web " Máy chủ Hình 2.1: Nguyên lý hoạt động của cookie yêu cầu được gửi đến máy chủ của trang web đó. Phân loại cookie Dựa trên bồi cảnh cụ thể, web cookie được chia thành hai loại: cookie của bên thứ nhất (first-party cookie) và cookie bên thứ ba (third-party cookie) Cookie của bên thứ nhất là những cookies được cài đặt vào trình duyệt của người dùng bởi chính trang web mà người dùng đang truy cập.
Trái ngược với cookie của bên thứ nhất, cookies của bên thứ ba là những cookies được cài đặt vào trình duyệt của người dùng bởi các trang web không phải là trang web mà người dùng đang truy cập.2, người dùng đang truy cập vào domain A (bối cảnh bên thứ nhất), vậy cookie của domain A được gọi là cookie của bên thứ nhất. Trong khi đó, một trang web B và trang web C (bên thứ ba) cũng muốn cài đặt vào trình duyệt web của người dùng cookies domain B và domain C có chứa dữ liệu sử dụng trình duyệt được tạo ra bởi người dùng khi truy cập vào trang web A (bối cảnh bên thứ nhất - first-party context), những cookies này được gọi là cookies của bên thứ ba Tir khía cạnh về quyền riêng tư dữ liệu của người dùng cuối có thể thấy rằng cookies của bên thứ nhất ít rủi ro hơn so với cookies của bên thứ ba, bởi vì với cookies của bên thứ nhất, người dùng ít nhất biết được trang web mà họ đang truy cập còn với cookies của bên thứ ba thì người dùng không biết được do không được hiển thị trên thanh điều hướng. Vì thế, người dùng hoàn toàn không biết rằng domain B và domain C đang thu thập dữ liệu về họ, và hiển nhiên người dùng cuối cũng không biết được dữ liệu sử dụng nào của họ đang được thu thập và thu thập với mục đích gì. 16 ou domain A * domain A : domainB (@9ø42 > domainC CR Hình 2.2: Phân loại cookie dựa trên bối cảnh cụ thể 2.
Thuộc tính của cookies Tiêu đề phản hồi HTTP Set-cookie được dùng để gửi một HTTP cookie từ máy chủ đến trình duyệt web, sau đó trình duyệt web có thể gửi ngược lại cookie này cho server. Cookies có thể có những thuộc tính sau dây:? * <cookie-name>=<cookie-value> - Định nghĩa tên cookie và giá trị của nó. Day là thuộc tính bắt buộc duy nhất của cookie. * Domain = <domain-value> - Định nghĩa nơi mà cookie sẽ được gửi đến.
Nếu giá trị thuộc tính này để trống, mặc định của thuộc tính sẽ là máy chủ của URL đang truy cập, không bao gồm tên miền phụ (sub-domain). Nhưng nếu chỉ định một tên miễn thi sẽ bao gồm luôn các tên miễn phụ. + HTTPOnly - Thuộc tính giúp bảo vệ cookies, ngăn chặn truy cập cookies bằng các ngôn ngữ kịch bản từ phía người dùng. Khi cookie có thuộc tính HTTPOnly thì cookie này chỉ có thể truy cập bằng giao thức HTTP hoặc HTTPS.
* Max-Age=<number> - chỉ số thời gian hết hạn được tính bằng giây của cookies. Nếu giá trị này bằng 0 hay là số âm thì cookies sẽ hết hạn ngay lập tức. * Path=<path-value> - chỉ đường dẫn cần có trong URL yêu cầu để trình duyệt web gửi tiêu đề cookie. + Samesite=<samesite-value> quản lý việc cookies có được gửi đi cùng với yêu cầu liên trang hay không, nhằm tăng cường bảo vệ người dùng khỏi tắn công liên trang (CSRF).
Những giá trị có thể sử dụng cho thuộc tính này gồm: 2Trong tài liệu này chúng tôi chỉ dé cập đến một số thuộc tính tiêu biểu của cookies sẽ được ding trong thực nghiệm ở Chương 3. Tham khảo [17, 18] để biết thêm về các thuộc tính khác của HTTP cookies 17 — Strict: Trình duyệt chỉ gửi cookie cho những yêu cầu đến từ nguồn giống với nguồn cài đặt cookie. — Lax: cookies sẽ không được gửi cùng với những yêu cầu liên trang, ngoại trừ khi người dùng đang trỏ đến trang nguồn từ một trang bên ngoài (ví dụ như khi người dùng bam vào một đường dẫn). Lax sé là thuộc tính mặc định nếu giá trị của thuộc tính Samesite không được khai báo.
— None: trình duyệt sẽ gửi cookie với cả yêu cầu liên trang và cùng trang. “Thuộc tinh Secure cần được khai báo cùng với thuộc tính Samesite= None. Khi dùng thuộc tính Samesite= None, nếu thiếu giá trị ở thuộc tính Secure thì trình duyệt sẽ báo lỗi. * Secure: Cookies sẽ được gửi đến server chỉ khi yêu cầu được gửi bằng giao thức https: scheme (ngoại trừ localhost).5 Vấn đề liên quan đến bao mật Những vấn đề về quyền riêng tư và đặc biệt là theo dõi liên trang không phải là vấn đề đáng do ngại duy nhất gây ra bởi cookies.
Ngoài những vấn đề về vi phạm quyền riêng tư của người dùng, cookies của bên thứ ba còn tăng rủi ro về vấn đề bảo mật cho người dùng. Ví dụ như Giả mạo yêu cầu liên trang ( Cross-site request forgery - CSRF) là một kỹ thuật tan công bảo mật khá nổi tiếng dựa trên những yêu cầu liên trang của cookies. Khi nạn nhân truy cập trang web của kẻ tấn công (website B), một yêu cầu http sẽ được kích hoạt đến trang web bị tấn công (website A).