Ứng dụng chạy trên trình duyệt nhìn chung an toàn hơn ứng dụng cài đặt, vì nó bị nhốt trong một “hộp cát”: không đọc được tệp trên máy, không xem được ứng dụng khác, không dùng camera hay vị trí nếu bạn không bấm cho phép. Rủi ro thật nằm ở chỗ khác — trang giả mạo lừa bạn tự gõ mật khẩu, tự bấm cho phép thông báo, hoặc tự tải tệp về cài. Bài này giải thích hộp cát chặn được gì, không chặn được gì, và vài phép kiểm ba giây trước khi tin một đường dẫn lạ.
Hộp cát: trang web sống trong căn phòng khoá cửa
Khi bạn mở một trang web, trình duyệt cho mã của trang chạy trong một không gian bị giới hạn chặt gọi là hộp cát (sandbox). Trong đó, mã được vẽ lên màn hình, phát âm thanh, nói chuyện với máy chủ của chính nó, và lưu một ít dữ liệu vào ngăn riêng. Ngoài ra thì gần như không gì cả.
Các trình duyệt lớn còn tách mỗi trang (hoặc mỗi nhóm trang) vào một tiến trình riêng của hệ điều hành. Nếu một trang có mã độc lợi dụng lỗi của trình duyệt, nó vẫn bị kẹt trong tiến trình đó, khó với sang trang khác hay sang phần còn lại của máy. Đó là lý do cập nhật trình duyệt quan trọng: mỗi bản cập nhật vá những lỗ có thể làm thủng vách hộp cát.
| Việc | Trang web làm được? | Ghi chú |
|---|---|---|
| Đọc ảnh, tin nhắn, danh bạ trong máy | Không | Chỉ thấy tệp mà bạn tự chọn trong hộp thoại tải lên |
| Xem bạn đang mở ứng dụng nào khác | Không | |
| Đọc dữ liệu của trang web khác | Không | Luật cùng nguồn gốc |
| Dùng camera, micro, vị trí | Chỉ khi bạn cho phép | Trình duyệt hỏi, có biểu tượng báo đang dùng |
| Gửi thông báo | Chỉ khi bạn cho phép | Có thể thu hồi bất cứ lúc nào |
| Cài ứng dụng vào máy | Không tự cài được | Chỉ tải tệp về; cài hay không là do bạn bấm |
| Chạy ngầm khi đã đóng tab | Rất hạn chế | Service worker chỉ thức dậy khi có việc, trình duyệt kiểm soát |
Luật cùng nguồn gốc: hàng rào giữa các trang
Luật nền tảng thứ hai là cùng nguồn gốc. Mỗi trang được định danh bằng ba thứ: giao thức (http hay https), tên miền, và cổng. Mã của trang này không đọc được nội dung, cookie hay dữ liệu lưu trữ của trang khác. Một trang lạ bạn mở trong tab bên cạnh không thể nhìn vào tab ngân hàng của bạn.
Trang web vẫn có thể gửi yêu cầu tới trang khác — ví dụ hiển thị một ảnh từ nơi khác — nhưng không được đọc câu trả lời trừ khi bên kia cho phép rõ ràng. Cơ chế cho phép này gọi là CORS. Với người dùng, chỉ cần nhớ: hàng rào này do trình duyệt dựng, trang web không tự tháo được.
Ổ khoá trên thanh địa chỉ nói gì, và không nói gì
Biểu tượng ổ khoá (hoặc biểu tượng tuỳ chọn ở chỗ đó trên trình duyệt đời mới) cho biết kết nối được mã hoá bằng HTTPS: người ở giữa — Wi-Fi quán cà phê, thiết bị mạng dọc đường — không đọc được và không sửa được những gì bạn gửi và nhận.
Nó không nói rằng trang đó đáng tin. Kẻ lừa đảo cũng lấy được chứng chỉ mã hoá miễn phí cho tên miền giả của họ. Ổ khoá chỉ đảm bảo bạn đang nói chuyện riêng tư với chủ của tên miền trên thanh địa chỉ — vì thế việc quan trọng nhất là đọc đúng tên miền đó.
Nhiều tính năng mạnh của trình duyệt chỉ mở trên HTTPS: service worker để chạy khi mất mạng, thêm ra màn hình chính đầy đủ, camera, micro, vị trí. Trang không có HTTPS mà xin bạn những quyền đó là dấu hiệu bất thường.
Rủi ro thật nằm ở đâu
Hộp cát chặn mã. Nó không chặn được việc người dùng tự tay làm theo lời dụ. Gần như mọi vụ lừa qua đường dẫn đều đi qua một trong các cửa sau:
- Trang đăng nhập giả. Trông giống hệt Facebook, Zalo hay ngân hàng, nhưng tên miền sai một chữ. Bạn tự gõ mật khẩu, trang chỉ việc ghi lại.
- Xin quyền thông báo rồi dội quảng cáo. Trang hiện “Bấm Cho phép để chứng minh bạn không phải robot”. Bấm xong là thông báo rác hiện liên tục, trông như cảnh báo virus.
- Dụ tải tệp cài đặt. Trang báo “máy bạn nhiễm virus, tải ứng dụng dọn rác” và đưa tệp .apk. Đây là chỗ ra khỏi hộp cát — do bạn tự mở cửa.
- Tiện ích mở rộng độc. Trên máy tính, tiện ích được cấp quyền “đọc và thay đổi mọi trang” thì nhìn được cả những gì hộp cát giữ kín.
- Trang đòi mã OTP. Không ứng dụng giải trí nào cần mã OTP ngân hàng của bạn.
Phép kiểm ba giây trước khi tin một đường dẫn
- Đọc tên miền từ phải sang trái. Phần ngay trước .com, .vn mới là chủ thật. facebook.com.dang-nhap.xyz là trang của dang-nhap.xyz, không phải Facebook.
- Cẩn thận chữ giống nhau: số 0 và chữ o, chữ l và số 1, chữ rn trông như m.
- Trang có cần thứ nó đang xin không? Ứng dụng giải trí xin danh bạ, xin vị trí, xin tải tệp cài là đáng ngờ.
- Có đang bị hối thúc không? “Còn 30 giây”, “tài khoản sẽ bị khoá” là chiêu ép bạn không kịp nghĩ.
- Mở bằng trình duyệt chính. Trình duyệt trong Zalo, Facebook thường giấu bớt thanh địa chỉ; mở ra Chrome hay Safari để thấy rõ tên miền.
Dọn dẹp nếu lỡ cho phép nhầm
Tên mục có thể khác tuỳ phiên bản máy và trình duyệt.
- Chrome trên Android — tắt thông báo rác: Cài đặt của Chrome → Cài đặt trang web → Thông báo, tìm trang lạ, chọn chặn. Hoặc nhấn giữ một thông báo rác, chọn tắt thông báo từ trang đó.
- Chrome — thu hồi camera, micro, vị trí: cùng mục Cài đặt trang web, vào từng quyền và xoá trang không quen.
- Safari trên iPhone: Cài đặt → Ứng dụng → Safari, xem các mục Camera, Micrô, Vị trí; ứng dụng web đã thêm ra màn hình chính có thông báo thì tắt trong Cài đặt → Thông báo.
- Lỡ gõ mật khẩu vào trang giả: đổi mật khẩu ngay ở trang thật, bật xác thực hai lớp, đổi luôn ở những nơi dùng cùng mật khẩu.
- Lỡ cài tệp .apk lạ: gỡ ngay, chạy Google Play Protect, kiểm tra ứng dụng nào được quyền trợ năng hoặc quản trị thiết bị.
Cách AppGiaiTri dùng những quyền này
Các ứng dụng của AppGiaiTri chạy hoàn toàn trong trình duyệt và không có tệp cài đặt nào để tải. Đăng nhập bằng mã 6 số gửi qua email, và một tài khoản dùng chung cho mọi ứng dụng. Hiện các ứng dụng không xin quyền thông báo và không xin vị trí; nếu sau này có tính năng thật sự cần một quyền nào đó, nguyên tắc của chúng tôi là hỏi đúng lúc bạn bấm vào tính năng ấy, không bật hộp xin quyền ngay khi vừa mở trang. Nếu một trang mang tên AppGiaiTri đòi bạn tải tệp .apk, đó không phải chúng tôi.
Câu hỏi thường gặp
Mở một đường dẫn lạ có bị nhiễm virus không?
Chỉ mở trang thì rủi ro thấp nếu trình duyệt được cập nhật, vì mã của trang bị nhốt trong hộp cát. Rủi ro lớn đến khi bạn tự làm theo trang: gõ mật khẩu, cho phép thông báo, tải tệp cài về.
Ổ khoá trên thanh địa chỉ có nghĩa là trang an toàn không?
Không hẳn. Ổ khoá chỉ cho biết kết nối được mã hoá, không ai ở giữa đọc trộm được. Trang lừa đảo cũng có ổ khoá; bạn vẫn phải kiểm tra tên miền.
Ứng dụng web có đọc được ảnh trong điện thoại không?
Không, trừ những tệp bạn tự chọn trong hộp thoại tải lên. Trang web không duyệt được thư viện ảnh hay thư mục của máy.
Làm sao tắt thông báo rác từ trang web?
Trên Chrome Android, vào Cài đặt trang web, mục Thông báo, chặn trang lạ. Nhanh hơn là nhấn giữ một thông báo rác và chọn tắt thông báo từ trang đó.
Ứng dụng web có an toàn hơn ứng dụng cài từ kho không?
Về quyền truy cập máy thì thường có, vì hộp cát của trình duyệt chặt hơn và không có chuyện cài ngầm. Nhưng an toàn còn phụ thuộc vào việc bạn mở đúng trang thật, không phải trang giả mạo.
Có nên cập nhật trình duyệt thường xuyên không?
Nên. Mỗi bản cập nhật vá các lỗi có thể làm thủng hộp cát, và kẻ xấu thường nhắm vào máy chạy bản cũ đã biết lỗi.
