Cloudflare Turnstile là gì? Cơ chế xác minh và vai trò của IP
Cloudflare Turnstile là công cụ xác minh người dùng do Cloudflare phát triển để thay thế CAPTCHA truyền thống, kiểm tra trình duyệt bằng các phép thử chạy ngầm thay vì bắt người dùng chọn ảnh hay gõ chữ méo. Anh em gặp nó dưới dạng ô "Verify you are human" trên rất nhiều website. Bài này ProxyVN giải thích cơ chế, vai trò của địa chỉ IP và lý do ô xác minh đôi khi quay mãi khi dùng proxy hay VPN.
Cloudflare Turnstile và bài toán thay thế CAPTCHA
CAPTCHA ra đời để phân biệt người với chương trình tự động. Hơn hai mươi năm sau, nó trở thành thứ làm phiền người thật nhiều hơn là cản được máy.
Turnstile thay cho CAPTCHA giải đố
Vấn đề của CAPTCHA giải đố
Chọn ô có đèn giao thông, gõ lại dãy ký tự méo mó, xoay hình cho đúng chiều: mỗi lần như vậy người dùng mất từ vài giây tới nửa phút. Người khiếm thị và người dùng thiết bị cũ gặp khó hơn nhiều. Trong khi đó các mô hình nhận dạng ảnh đã giải được phần lớn loại câu đố này, còn dịch vụ thuê người giải thì tồn tại từ lâu. Định nghĩa và phân loại CAPTCHA đã có trong bài CAPTCHA là gì, bài này không nhắc lại.
Hướng tiếp cận của Turnstile
Thay vì hỏi "bạn có giải được câu đố này không", Turnstile hỏi "trình duyệt này có cư xử như trình duyệt của người thật không". Câu trả lời đến từ các phép thử chạy ngầm bằng JavaScript. Phần lớn người dùng không phải làm gì, hoặc chỉ bấm một ô.
Theo trang tài liệu Turnstile của Cloudflare, đây là giải pháp thay thế CAPTCHA thông minh, có thể nhúng vào bất kỳ website nào mà không cần gửi lưu lượng qua Cloudflare, và hoạt động mà không hiện CAPTCHA cho khách truy cập.
Mốc thời gian
Turnstile được giới thiệu ở dạng thử nghiệm mở vào cuối tháng 9 năm 2022. Một năm sau, bài công bố phát hành chính thức trên blog Cloudflare cho biết Turnstile sẵn sàng cho mọi người và miễn phí. Từ đó nó xuất hiện ở trang đăng nhập, đăng ký, biểu mẫu liên hệ của vô số dịch vụ.
Turnstile không yêu cầu website phải dùng dịch vụ proxy ngược của Cloudflare. Một website đặt ở bất kỳ đâu vẫn nhúng được, đây là điểm khác với các trang thử thách của Cloudflare sẽ nói ở phần sau.
Cơ chế xác minh của Cloudflare Turnstile
Phía sau ô nhỏ trên trang là một quy trình nhiều bước giữa trình duyệt, Cloudflare và máy chủ của website.
Các phép thử chạy ngầm
Khi widget tải, một đoạn JavaScript chạy một loạt phép thử không cần tương tác. Bài công bố của Cloudflare liệt kê các nhóm chính: bằng chứng công việc, bằng chứng không gian, dò tìm các API của web, và các thử thách phát hiện điểm bất thường của trình duyệt cùng hành vi con người. Hệ thống điều chỉnh độ khó theo từng lượt truy cập: trình duyệt trông bình thường thì qua nhanh, trông đáng ngờ thì nhận thêm phép thử.
Mã thông báo và xác minh phía máy chủ
Khi các phép thử đạt, widget tạo ra một mã thông báo. Biểu mẫu trên trang gửi mã này kèm dữ liệu về máy chủ của website. Máy chủ gọi tới dịch vụ siteverify của Cloudflare để kiểm tra mã có hợp lệ hay không. Mã chỉ dùng được một lần và hết hạn sau vài phút. Chỉ khi Cloudflare xác nhận, máy chủ mới xử lý yêu cầu đăng nhập hay đăng ký.
Bước xác minh phía máy chủ là bắt buộc. Website chỉ nhúng widget mà không kiểm tra mã thì ai cũng gửi được biểu mẫu với một mã giả.
Private Access Token trên thiết bị Apple
Với iPhone, iPad và máy Mac đời mới, Turnstile có thể dùng Private Access Token. Thiết bị nhờ nhà sản xuất chứng thực rằng đây là thiết bị thật, mà không tiết lộ danh tính người dùng. Khi có chứng thực này, người dùng gần như không bao giờ thấy thử thách.
Về quyền riêng tư
Cloudflare cho biết Turnstile không dùng dữ liệu thu được cho mục đích quảng cáo. Đây là điểm họ nhấn mạnh khi so với các giải pháp gắn với hệ sinh thái quảng cáo.
Tóm lại, Turnstile là một chuỗi: phép thử ngầm trên trình duyệt, mã thông báo, rồi xác minh từ máy chủ. Hỏng ở khâu nào thì người dùng cũng bị kẹt ở ô xác minh.
Ba chế độ widget của Cloudflare Turnstile
Chủ website chọn cách widget hiện ra. Người dùng thấy khác nhau tuỳ lựa chọn này.
Ba chế độ widget của Turnstile
Theo tài liệu về widget của Turnstile, có ba chế độ.
Managed
Đây là chế độ được khuyến nghị. Cloudflare tự quyết định có cần người dùng tương tác hay không dựa trên mức rủi ro. Đa số người dùng chỉ thấy ô quay vài giây rồi hiện dấu tích. Số còn lại được yêu cầu bấm vào một hộp kiểm. Không có câu đố hình ảnh.
Non-interactive
Widget hiện ra với trạng thái đang tải rồi tự chuyển sang thành công. Người dùng không bao giờ phải bấm gì. Nếu phép thử không đạt, widget báo lỗi.
Invisible
Widget không hiện gì trên trang. Phép thử chạy ngầm trong nền, không có phần tử nào xuất hiện trên giao diện. Người dùng không biết có bước xác minh, trừ khi nó thất bại và website hiện thông báo.
Bảng so sánh ba chế độ
Chế độ |
Người dùng thấy gì |
Có phải bấm không |
|---|---|---|
Managed |
Ô xác minh, đôi khi có hộp kiểm |
Chỉ khi bị đánh giá rủi ro |
Non-interactive |
Ô xác minh tự chạy |
Không |
Invisible |
Không thấy gì |
Không |
Ý nghĩa với người dùng
Khi anh em bị bắt bấm hộp kiểm nhiều lần trong chế độ Managed, đó là tín hiệu phiên của mình đang bị đánh giá rủi ro cao hơn mức trung bình. Nguyên nhân thường nằm ở địa chỉ IP hoặc trình duyệt, sẽ được nói ở phần dưới.
Cloudflare Turnstile khác trang thử thách của Cloudflare
Hai thứ này trông giống nhau, cùng có dòng chữ xác minh và logo Cloudflare, nên hay bị gọi chung. Thực tế chúng nằm ở hai vị trí khác nhau.
Trang thử thách chặn trước khi vào website
Website dùng Cloudflare làm proxy ngược có thể bật quy tắc tường lửa hoặc chế độ chống tấn công. Khi đó khách truy cập thấy một trang trung gian toàn màn hình với dòng "Checking your browser" hoặc "Just a moment" trước khi vào được trang thật. Tài liệu về Cloudflare Challenges mô tả các loại: thử thách được quản lý, thử thách JavaScript và thử thách tương tác. Vượt qua xong, trình duyệt nhận cookie cf_clearance và không bị hỏi lại trong một thời gian.
Turnstile nằm trong trang
Turnstile là một ô nhỏ nhúng trong biểu mẫu của chính website. Người dùng đã vào được trang, chỉ hành động cụ thể như đăng nhập hay gửi bình luận mới cần xác minh.
Bảng phân biệt
Tiêu chí |
Trang thử thách |
Turnstile |
|---|---|---|
Vị trí |
Trang trung gian toàn màn hình |
Ô nhúng trong biểu mẫu |
Website cần dùng proxy của Cloudflare |
Có |
Không |
Ai kích hoạt |
Quy tắc tường lửa, chế độ bảo vệ |
Chủ website nhúng vào trang |
Kết quả khi đạt |
Cookie cf_clearance |
Mã thông báo dùng một lần |
Trang chặn hẳn là chuyện khác
Trang "Sorry, you have been blocked" hay Error 1020 không phải thử thách. Ở đó quy tắc đã quyết định từ chối, không có gì để xác minh. ProxyVN có bài riêng về Sorry, you have been blocked. Kiến thức về vai trò proxy ngược của Cloudflare có trong bài proxy Cloudflare là gì và bài Cloudflare reverse proxy.
Tóm lại, thử thách là "chờ kiểm tra", Turnstile là "kiểm tra khi gửi biểu mẫu", còn trang chặn là "không cho vào".
Tín hiệu Cloudflare Turnstile dùng để đánh giá
Cloudflare không công bố công thức chấm điểm, và cũng không nên công bố. Nhưng từ tài liệu chính thức có thể biết các nhóm tín hiệu chính.
Tín hiệu Turnstile chấm điểm
Tín hiệu từ trình duyệt
Các phép thử dò xem trình duyệt có đủ những API mà một trình duyệt thật phải có, có những "tật" đúng với phiên bản nó tự khai, và có dấu hiệu bị điều khiển tự động hay không. Trình duyệt bị sửa đổi sâu, trình duyệt tự động hoá khai báo sai phiên bản, hay trình duyệt quá cũ đều dễ bị thử thách thêm.
Tín hiệu từ mạng
Cloudflare xử lý một phần rất lớn lưu lượng web, nên có dữ liệu về hành vi của từng địa chỉ IP và từng mạng trên phạm vi rộng. Một địa chỉ vừa gửi hàng nghìn yêu cầu tới nhiều website khác nhau sẽ mang "tiếng xấu" tới website tiếp theo. Dấu vân tay bắt tay TLS cũng cho biết phần mềm ở đầu bên kia có đúng là trình duyệt nó tự xưng hay không, khái niệm này có trong bài TLS fingerprint JA3 và proxy.
Tín hiệu hành vi
Cách con trỏ di chuyển tới hộp kiểm, khoảng thời gian từ lúc trang tải tới lúc bấm, là những dấu hiệu phụ. Chương trình bấm tức thì vào đúng tâm ô là kiểu hành vi con người hiếm có.
Sự nhất quán
Từng tín hiệu riêng lẻ ít khi quyết định. Thứ bị chú ý là mâu thuẫn: trình duyệt khai là Chrome trên Windows nhưng dấu vân tay TLS giống một thư viện lập trình, múi giờ ở châu Âu trong khi IP ở Việt Nam, ngôn ngữ tiếng Anh với IP nhà mạng trong nước. Cách giữ các thông số khớp nhau có trong bài đồng bộ múi giờ với IP proxy.
Turnstile không tìm một bằng chứng duy nhất rằng anh em là máy. Nó cộng dồn những điểm bất thường, và địa chỉ IP là điểm nó nhìn thấy sớm nhất.
Vai trò của địa chỉ IP với Cloudflare Turnstile
Trong các nhóm tín hiệu, địa chỉ IP là thứ người dùng proxy và VPN chịu ảnh hưởng trực tiếp nhất.
Uy tín của địa chỉ
Mỗi địa chỉ có lịch sử. Địa chỉ từng dùng để gửi thư rác, dò mật khẩu, thu thập dữ liệu ồ ạt sẽ bị đánh giá thấp. Người dùng tiếp theo nhận địa chỉ đó thừa hưởng lịch sử ấy. Cơ chế chấm điểm được giải thích trong bài IP reputation là gì.
Loại mạng
Địa chỉ thuộc trung tâm dữ liệu bị nhìn khác địa chỉ của nhà mạng cấp cho hộ gia đình hay thuê bao di động. Người dùng thật hiếm khi đăng ký tài khoản từ trung tâm dữ liệu. Loại mạng được suy ra từ số hiệu mạng ASN, xem bài ASN proxy là gì.
Số người dùng chung
Proxy miễn phí, VPN miễn phí và proxy dùng chung nhiều người dồn rất nhiều lưu lượng khác nhau vào một địa chỉ. Chỉ cần vài người trong số đó có hành vi xấu, cả địa chỉ bị thử thách nặng hơn. Hiện tượng vạ lây này có trong bài bad neighbor effect là gì.
Bảng mức độ thường gặp
Loại địa chỉ |
Trải nghiệm thường gặp với Turnstile |
|---|---|
Cáp quang gia đình, ít người dùng |
Qua nhanh, hiếm khi phải bấm |
Di động 4G, 5G |
Qua nhanh, đôi khi phải bấm |
Proxy dân cư riêng |
Tương tự đường truyền gia đình |
Proxy datacenter riêng |
Hay phải bấm hộp kiểm |
VPN miễn phí, proxy miễn phí |
Hay bị lặp, có khi không qua được |
Bảng trên là quan sát chung, không phải cam kết. Kết quả thực tế còn phụ thuộc trình duyệt và hành vi.
Tóm lại, địa chỉ IP không quyết định tất cả, nhưng một địa chỉ có lịch sử xấu khiến mọi tín hiệu còn lại bị soi kỹ hơn.
Lý do Cloudflare Turnstile lặp vòng xác minh
Hiện tượng khó chịu nhất là ô xác minh quay rồi quay lại từ đầu, hoặc bấm hộp kiểm xong lại hiện hộp kiểm. Có vài nhóm nguyên nhân.
Vòng lặp xác minh khi dùng proxy hoặc VPN
Địa chỉ IP bị đánh giá thấp
Đây là nguyên nhân phổ biến nhất với người dùng VPN và proxy dùng chung. Mỗi lần thử, hệ thống lại thấy rủi ro cao và yêu cầu thử lại.
Trình duyệt chặn thứ Turnstile cần
Tiện ích chặn quảng cáo, chặn script, chế độ chống theo dõi quá chặt có thể chặn đoạn mã hoặc khung của Turnstile. Widget không chạy được phép thử nên không bao giờ hoàn tất.
Đồng hồ hệ thống sai
Mã thông báo có thời hạn. Đồng hồ máy lệch nhiều phút khiến mã bị coi là hết hạn ngay khi vừa tạo. Lỗi này hay gặp trên máy ảo và máy vừa thay pin CMOS.
Trình duyệt quá cũ hoặc bị sửa đổi
Trình duyệt thiếu API mà phép thử cần, hoặc trình duyệt tuỳ biến có dấu vân tay kỳ lạ, không qua được phép thử.
Mạng thay đổi giữa chừng
Địa chỉ IP đổi trong khoảng từ lúc widget tạo mã tới lúc máy chủ xác minh, ví dụ do proxy xoay theo từng yêu cầu. Mã được cấp cho địa chỉ này nhưng biểu mẫu lại được gửi từ địa chỉ khác.
Lỗi phía website
Website cấu hình sai khoá, không gửi mã về máy chủ đúng cách, hoặc dịch vụ xác minh tạm thời gặp sự cố. Trường hợp này mọi người dùng đều bị, không riêng anh em.
Cách xử lý khi kẹt ở Cloudflare Turnstile
Các bước dưới dành cho người dùng thật gặp trục trặc khi truy cập bình thường. Đi lần lượt từ đơn giản tới phức tạp.
Bước 1: tải lại và thử cửa sổ riêng tư
Tải lại trang một lần. Nếu vẫn kẹt, mở trang trong cửa sổ ẩn danh. Cửa sổ ẩn danh tắt phần lớn tiện ích, nên nếu qua được thì thủ phạm là một tiện ích nào đó.
Bước 2: tạm tắt tiện ích chặn nội dung
Tắt tiện ích chặn quảng cáo và chặn script cho riêng website đó. Kiểm tra cài đặt chống theo dõi của trình duyệt, đưa về mức tiêu chuẩn.
Bước 3: kiểm tra đồng hồ và cập nhật trình duyệt
Bật đồng bộ thời gian tự động trong hệ điều hành. Cập nhật trình duyệt lên bản mới nhất.
Bước 4: xem lại đường mạng
Nếu đang bật VPN hoặc proxy dùng chung, thử tắt hoặc chuyển sang địa chỉ khác. Nếu qua được ngay, nguyên nhân là uy tín của địa chỉ cũ. Với proxy xoay, chuyển sang chế độ giữ địa chỉ trong suốt quá trình đăng nhập.
Bước 5: thử thiết bị hoặc mạng khác
Dùng điện thoại với dữ liệu di động để xác định vấn đề nằm ở máy hay ở mạng. Qua được trên 4G mà không qua được trên Wi-Fi nhà nghĩa là địa chỉ cáp quang đang có vấn đề, có thể do một thiết bị trong nhà nhiễm mã độc.
Bước 6: liên hệ chủ website
Nếu mọi thiết bị, mọi mạng đều kẹt, lỗi ở phía website. Gửi cho họ mã lỗi hiển thị dưới widget nếu có.
Bảng tóm tắt
Dấu hiệu |
Hướng xử lý |
|---|---|
Qua được ở cửa sổ ẩn danh |
Tìm tiện ích gây chặn |
Qua được khi tắt VPN, proxy |
Đổi sang địa chỉ có uy tín tốt hơn |
Qua được trên điện thoại 4G |
Kiểm tra máy tính và mạng nhà |
Không qua ở đâu cả |
Báo chủ website |
Bài này không hướng dẫn dùng công cụ để vượt Turnstile một cách tự động. Việc đó trái với mục đích của cơ chế bảo vệ và thường vi phạm điều khoản của website.
Cloudflare Turnstile khi làm việc với proxy
Người dùng proxy cho công việc hợp lệ như quản lý tài khoản của chính mình, kiểm tra hiển thị, vẫn gặp Turnstile hằng ngày. Vài nguyên tắc giúp trải nghiệm bớt trắc trở.
Dùng địa chỉ riêng, có lịch sử sạch
Proxy riêng chỉ một người dùng tránh được cảnh vạ lây. Trước khi dùng cho việc quan trọng, kiểm tra địa chỉ theo bài cách kiểm tra proxy sạch.
Giữ nguyên địa chỉ trong một phiên
Từ lúc mở trang đăng nhập tới lúc vào được tài khoản, địa chỉ không nên thay đổi. Dùng proxy tĩnh hoặc chế độ giữ phiên, xem bài sticky session proxy là gì.
Trình duyệt thật, thông số khớp
Dùng trình duyệt cập nhật, không khai báo sai phiên bản. Múi giờ, ngôn ngữ khớp với vị trí của địa chỉ. Tắt rò rỉ WebRTC để trình duyệt không để lộ một địa chỉ thứ hai.
Nhịp độ như người dùng thật
Gửi biểu mẫu hàng chục lần mỗi phút từ một địa chỉ sẽ kéo điểm rủi ro lên, và ảnh hưởng tới cả những lần truy cập sau. Giữ nhịp độ vừa phải.
Chọn loại proxy
Với trang đăng nhập và đăng ký có Turnstile, proxy dân cư tĩnh riêng thường cho trải nghiệm gần với đường truyền gia đình nhất. ProxyVN cung cấp proxy dân cư tĩnh Viettel, VNPT, FPT dạng dùng riêng, cùng proxy 4G và proxy datacenter cho các nhu cầu khác. Anh em có thể mua proxy tại ProxyVN để có địa chỉ riêng, không chung với người lạ.
Cloudflare Turnstile từ góc nhìn chủ website
Nếu anh em vận hành website, Turnstile là lựa chọn đáng cân nhắc cho biểu mẫu đăng ký, đăng nhập, liên hệ.
Ưu điểm
- Miễn phí cho phần lớn nhu cầu, theo trang sản phẩm Turnstile.
- Không bắt khách giải đố, tỷ lệ bỏ dở biểu mẫu thấp hơn.
- Không cần chuyển tên miền về Cloudflare.
- Thân thiện với người dùng trình đọc màn hình hơn câu đố hình ảnh.
Các bước tích hợp cơ bản
- 1. Tạo widget trong bảng điều khiển Cloudflare, nhận khoá trang và khoá bí mật.
- 2. Nhúng đoạn script và thẻ widget vào biểu mẫu với khoá trang.
- 3. Ở máy chủ, lấy mã thông báo từ biểu mẫu và gọi siteverify với khoá bí mật.
- 4. Chỉ xử lý yêu cầu khi kết quả xác minh thành công.
Sai lầm hay gặp
Bỏ bước xác minh phía máy chủ, để lộ khoá bí mật trong mã nguồn phía trình duyệt, dùng lại một mã cho nhiều yêu cầu. Cả ba đều làm lớp bảo vệ mất tác dụng.
Đừng dựa vào một lớp
Turnstile lọc chương trình tự động đơn giản. Nó nên đi cùng giới hạn tần suất theo tài khoản, xác minh email hoặc số điện thoại, và theo dõi hành vi bất thường sau đăng nhập.
Câu hỏi thường gặp về Cloudflare Turnstile
Phần này trả lời nhanh các thắc mắc phổ biến.
Cloudflare Turnstile có phải CAPTCHA không
Cloudflare gọi nó là giải pháp thay thế CAPTCHA. Mục đích giống nhau là phân biệt người với máy, cách làm khác: không có câu đố.
Turnstile có miễn phí không
Có gói miễn phí cho mọi người, kèm các gói trả phí cho doanh nghiệp cần thêm tính năng.
Vì sao chỉ mình tôi bị hỏi liên tục
Thường do địa chỉ IP đang dùng có uy tín thấp hoặc trình duyệt có tiện ích can thiệp. Làm theo các bước xử lý ở trên để khoanh vùng.
Turnstile có thu thập dữ liệu cá nhân không
Nó thu thập tín hiệu kỹ thuật của trình duyệt và mạng để đánh giá. Cloudflare cho biết không dùng dữ liệu này cho quảng cáo.
Turnstile có hoạt động trên ứng dụng di động không
Có. Ứng dụng có thể hiển thị widget trong một khung web nhúng rồi lấy mã thông báo gửi về máy chủ. Trải nghiệm của người dùng giống trên trình duyệt, và các nguyên tắc về địa chỉ IP vẫn áp dụng như nhau.
Tắt JavaScript có qua được không
Không. Turnstile cần JavaScript để chạy phép thử. Tắt JavaScript thì widget không hoạt động.
Turnstile và reCAPTCHA khác gì
Cả hai đều chấm điểm rủi ro. Khác biệt chính ở nhà cung cấp, chính sách dữ liệu và việc Turnstile không dùng câu đố hình ảnh ở bất kỳ mức nào.
Kết luận
Cloudflare Turnstile xác minh người dùng bằng phép thử chạy ngầm và tín hiệu tổng hợp, trong đó địa chỉ IP là thứ được nhìn thấy sớm nhất. Kẹt ở ô xác minh thường do địa chỉ có uy tín thấp, tiện ích chặn script, đồng hồ sai hoặc địa chỉ đổi giữa phiên. Cần địa chỉ riêng, ổn định cho công việc hằng ngày, liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn loại proxy ít gặp trục trặc với Cloudflare Turnstile.
