Как получать точный fingerprint браузера?

Question

[slava kk]

Слышал, что Fingerprintjs2 не очень дружит с устройствами apple, есть ли библиотека, которая будет работать на всех устройствах нормально?

Comments

[crdrads]

Зачем?

[slava kk]

crdrads, При смене IP мой сервис посылает пользователя заново на вход, а там и на двухфакторную аутентификацию, но те кто сидит с телефона через например 4G, их IP может меняться, а так по fingerprint определять с того же устройства зашел человек или нет? если да, то не посылать его на двухфакторную аутентификацию. Или это не лучший способ?

[Antonio Solo]

crdrads, ну как пример защита от множественных регистраций.

p.s. если бы ты написал комментарий в подобной манере на моем сайте, то я бы тебя заблокировал и внес бы в список "нежелательных персон" после этого ты бы лишился возможности оставлять комментарии - на этом сайте и не только.

[Antonio Solo]

slava kk, а просто кука тебя не спасает ? у него же браузер то не меняется

[sim3x]

slava kk,

При смене IP мой сервис посылает пользователя заново на вход,

зачем?

Sha644,

акая разница, чем больше подобного, тем больше % людей использующий noscript и ему подобное.

как фингерпринт будет работать без жс? И какое отношение носкрипт имеет к куке?

[stratosmi]

Точный - никак, если пользователь принимает меры противодействия. Библиотеки обхода этого имеют достоверность процентов 90. Но этого очень и очень мало.
Куки - на 100% точный. Но если пользователь не заморачивается анонимностью.

[fgbxfbx xfdbxfb]

Antonio Solo, фингерпринтом принято называть возможность однозначно идентифицировать человека через его устройство, настройки, программное обеспечение и другие пользовательские характеристики.

В чем отличие от cookies? Начнем с того, что куки актуальны в пределах одного домена, в то время как фингерпринт позволяет отслеживать источники перехода на целевой сайт и пути переходов с этого сайта. Куки, включая вечные, можно очистить или блокировать, что не является трудоемким процессом. В свою очередь фингерпринты можно лишь подменить.

[Finesse]

FingerprintJS нормально работает на айфонах. Проблема в том, что айфоны дают очень мало энтропии, поэтому из них невозможно получить очень индивидуальный фингерпринт. FingerprintJS Pro (платная версия) использует разные клиент-серверные трюки, благодаря чему удаётся идентифицировать каждый отдельный айфон.

Answer 1

[coderisimo]

https://habr.com/ru/company/oleg-bunin/blog/321294/

Answer 2

[KOLANICH]

Никак. Во-первых, отпечаток браузера не даёт уникальной идентификации (у идентичных систем будет идентичный отпечаток). Во-вторых, есть некоторые контрмеры, поэтому использовать отпечатки для бана спамеров у вас не получится, а вот забанить правомерных пользователей ненарочно - как нефиг делать. А в третьих, использование отпечатков браузеров в каких-либо целях, отличных от исследования этого класса технологий и разработки защиты от них, аморально и пользователи вашего сайта вполне могут решить, что ваш сайт не такой уж и незаменимый и недостоин быть ими посещённым, благо что есть некоторые методы обнаружения такого вредительства.

Comments

[Антон Киселёв]

KOLANICH,

отпечаток браузера не даёт уникальной идентификации (у идентичных систем будет идентичный отпечаток

Используется полно параметров, а не только "система+браузер"
Для самостоятельного изучения:
https://habr.com/ru/company/oleg-bunin/blog/321294/
https://habr.com/ru/post/190664/
crimina.li/topic/8062-statja-nemnogo-anonimnosti-i...
huac.8vs.ru/indexc-1488068753084-perm.htm

использовать отпечатки для бана спамеров у вас не получится

Все крупные порталы (яндекс, гугл, авито, etc) легко банят "спамеров" и "парсеров", даже если менять ip и юзер-агент. И делают они это именно по набору данных для фингерпринта.

есть некоторые контрмеры

Какие?

[KOLANICH]

Антон,

Используется полно параметров, а не только "система+браузер"

Под системой подразумевается именно система, с библиотеками, шрифтами, драйверами и железом. Моё исследование показало - Tails + TorBrowser дают идентичные отпечатки вне зависимости от машины, если не менять размер окна.

Все крупные порталы (яндекс, гугл, авито, etc) легко банят "спамеров" и "парсеров", даже если менять ip и юзер-агент.

Аккаунты спамеров банят по содержимому сообщений и паттерну их отправки. Спам удаляют, поэтому вы его и не видите. Регистрация затруднена капчами, а кое-где - привязкой номера телефона.

И делают они это именно по набору данных для фингерпринта.

Именно поэтому некоторые крупные порталы забанили почти всех своих пользователей (не спамеров, не скрейперов, а просто пользователей) с privacy.resistFingerprinting=True . Но ещё раз - у этих порталов цель не спамеров банить, а пользователей отслеживать, эти порталы - фактически монополисты, и могут позволить себе полностью игнорировать плохое отношение части пользователей к их политике (включая нытьё на форумах "достала рекапча - 50 экранов с троллейбусами") - замены этим порталам нет и в длижайшем будущем не предвидится.

Какие?

Если пользователю сайт, чей вебмастер - охреневший тип, позарез нужен, то будет написан кастомный код, и в результате пользователь на сайт попадёт, а у вас в базах будут лежать бесполезные мусорные отпечатки, сгенерированные из псевдослучайных чисел. А вот ложные срабатывания для других пользователей (не спамеров, не скрейперов), никуда не денутся и скажутся на посещаемости. Поэтому отпечаткинг используется в основном не для защиты от ботов, а для отслеживания перемещений пользователей: такое решение проблемы отпечаткинга не масштабируется на весь интернет. Но на отдельный сайт с охреневшим вебмастером, не имеющим возможности каждый регулярно играть в кошки-мышки - вполне.

[slava kk]

KOLANICH, но так-то, если что, я буду это использовать не для бана, а для идентификации устройства при авторизации

[Антон Киселёв]

KOLANICH, спасибо, узнал кое-что новое для себя.

[Пётр Грибанов]

Tails + TorBrowser дают идентичные отпечатки вне зависимости от машины, если не менять размер окна.

И правильно. Спамеры под тором отправляются в бан, а с ними и те кто пользуются тором ибо нефиг.

то будет написан кастомный код, и в результате пользователь на сайт попадёт, а у вас в базах будут лежать бесполезные мусорные отпечатки, сгенерированные из псевдослучайных чисел.

С этим тоже можно бороться.

Вообще, лучший способ спрятаться, это не прятаться за Tor, noscropt и doNotTrack, а наоборот, использовать наиболее популярное устройство с наиболее популярным браузером. Тот же iPhone.

Answer 3

[Somewhere Intech]

На стороне клиента navigator.userAgent, на стороне сервера тоже берётся из хидэра запроса. И то и другое возможно подменить.
FingerprintJS - хорошее решение
Что то похожее от valve

Comments

[Пётр Грибанов]

Автор спрашивает есть ли аналог Fingerprintjs2 и вы кидаете ему ссылку на тот же Fingerprintjs2. Гениально.

[Somewhere Intech]

Пётр Грибанов, всё гениальное просто - e = e || z )))

[Finesse]

Обе ссылки — один и тот же продукт

Answer 4

[michellie]

нужна система FingerprintJS / IP / username, отдельно нельзя полагаться на фингерпринт