Как ВКонтакте определяет, что я поменял браузер, при том, что браузер абсолютно идентичный при импорте кукисов?

Question

[Кирилл Новак]

Здравствуйте, камрады. Столкнулся с такой проблемой, не могу понять, что упустил и почему это так происходит.
Суть проблемы в том, что если перенести кукисы ВКонтакте из одного браузера (того же самого) с VPN в другой браузер, без VPN, инкогнито, то в том браузере, что без VPN, кукисы не сработают и меня при перезагрузке страницы не авторизует.

Но при этом же, если отключиться от VPN в левом браузере, все будет хорошо, после перезагрузки сессия не истечет.
Если бы дело было в смене IP, то я бы терял сессию при подключении к VPN, но этого не происходит.
Хочу заметить, что в обоих браузерах отключен JavaScript, поэтому он никак не влияет на ситуацию.
Под словом "браузеры идентичны" я подразумеваю, что FingerPrintJS выдает мне одинаковый FP и слева и справа.

Я подозреваю, что это работает как-то на уровне сети, подключений, но не знаю как, поэтому спросил тут.
Я пробовал после подключения к VPN в левом браузере, экмпортировать куки и закрывать этот браузер (чтобы оборвать все подключения), затем переносил в правый браузер, но результат был идентичным.

Я проверил этот же алгоритм на других сайтах, там никаких проблем не возникло. Кукисы срабатывали на любом подключении, под любым IP и в любом браузере.

Записал видео, где поэтапно воспроизвожу свою проблему. https://drive.google.com/file/d/1p6pQkugzx35SPQiwa...

Comments

[Сергей Соколов]

Заголовки запросов сравнивали?
И не пробовали имитировать вход веб-запросами cURL'ом, requests'ами или еще чем-то? Заголовки+куки одни и те же. Напрямую, и через VPN.

[Кирилл Новак]

Сергей Соколов, заголовки 100% одинаковые, меня даже при перезагрузке по тем же самым URL кидало, где все QueryString и Body идентичны.

[Кирилл Новак]

Я предполагаю, что это как-то связано с TLS сессией. Скорее всего, ВК чекают какие-то из ее ключей и таким образом идентифицируют подключение, я пробовал воспользоваться $ssl_session_id от nginx, но к сожалению, при подключении к VPN, он меняется, а значит это не он. А вот что именно, не знаю.

[Сергей Соколов]

Кирилл Новак, одинаковость заголовков как проверяли?

Часовой пояс «другого» браузера, где не работает — тот же, что у рабочего?

[Кирилл Новак]

Сергей Соколов, ну как, просто в Network, там можно открыть запрос, посмотреть заголовки отправленные. Абсолютно одинаковые получаются. Часовой пояс одинаковый.

Answer 1

[Кирилл Новак]

Это очень смешно, но это так :) Вопрос решен, не доглядел я, как чувствовал.

Никаких сетевых моментов нет, ВКонтакте устанавливает при авторизации дополнительные 3 кукиса на домен login.vk.com, а когда IP меняется, он эти кукисы смотрит через редирект. Импорт и экспорт плагина работал только по домену m.vk.com, для текущей вкладки. Поэтому авторизация не работала, потому что для ВК это выглядело так, словно пользователь даже не входил на сайт.

То есть экспорт еще надо было делать отдельно на вкладке с доменом login.vk.com, тогда все хорошо работает.

Answer 2

[Vindicar]

Помимо куки, есть ещё localstorage, и другие методы browser fingerprinting.

Comments

[Кирилл Новак]

Да, поэтому я отключил JavaScript и проводил авторизацию без него.

[Vindicar]

Кирилл Новак, и как, сработало? Последний раз когда я имел дело с контактом, он посылал в лес всех, у кого отключен JS.

[Кирилл Новак]

Vindicar, на мобильной версии JavaScript как обычно не нужен, правда стал он теперь более уродским, чем был в году так 2018-2019, в основном из-за того, что стили теперь подгружаются с помощью JS, а так, в целом, у них каждое действие - это URL, поэтому все ок (почти)

Answer 3

[Crazypill]

Ответ содержится в вашем вопросе. Что отличается когда вы подключаетесь не напрямую, а через VPN? Правильно, ваш IP-адрес, который видят сайты. Видимо ВКонтакте авторизует сессию не только по кукам, но и по IP.

Comments

[Кирилл Новак]

Тогда почему при подключении к VPN не происходит того же самого? И наоборот, когда я отключаюсь от VPN. Слева и справа браузеры одинаковые, если я отключаюсь от VPN, то левый браузер по сути становится для сервера таким же, как и правый браузер, если из левого перенести кукисы в правый.

[Дядька Серёжа]

Кирилл Новак, уязвимость?