Концепция цифрового отпечатка и его компоненты

Мы уже освоили методы очистки и трансформации данных с помощью Pandas, научились фильтровать «шум» и агрегировать информацию для поиска закономерностей. Однако в антифрод-исследовании недостаточно просто видеть подозрительную транзакцию — нам нужно понимать, кто за ней стоит. Поскольку злоумышленники редко используют свои реальные данные, на первый план выходит техническая идентификация.

Что такое цифровой отпечаток

В мире кибербезопасности цифровой отпечаток (или device fingerprint) — это уникальный идентификатор устройства или пользовательской сессии. Его формируют на основе комбинации технических характеристик. В отличие от Cookies, которые легко удалить, или IP-адреса, который меняется через КВН, отпечаток собирается из десятков косвенных признаков.

Браузер не передает «заводской номер» ноутбука или смартфона. Мы опрашиваем систему через JavaScript-скрипты, собирая мозаику из доступных данных. Чем специфичнее набор характеристик, тем выше энтропия данных — показатель уникальности пользователя в общей массе трафика.

Как показано в Схеме 1, цифровой отпечаток — это многослойная структура, где каждый уровень добавляет точности идентификации.

Параметры устройства и уровни данных

Разделение характеристик на группы помогает понять, какие данные легко подделать, а какие требуют использования антидетект-браузеров.

1. Сетевой уровень: IP-адрес, тип прокси, данные о провайдере (ASN) и параметры TCP/IP стека.
2. Браузерный уровень: User-Agent (строка с версией браузера и ОС), расширения, язык, часовой пояс и шрифты.
3. Аппаратный уровень: разрешение экрана, количество ядер процессора, объем оперативной памяти, модель видеокарты и уровень заряда батареи.
4. Специфические методы (Active Fingerprinting):
   • Canvas Fingerprinting: браузер отрисовывает скрытую картинку. Из-за различий в драйверах видеокарт и сглаживании шрифтов результат (хеш-сумма пикселей) будет уникальным для разных конфигураций.
   • AudioContext: анализ того, как звуковая карта обрабатывает аудиосигнал.

Практическое применение в антифроде

Главная цель сбора данных — выявление скрытых связей.

Антифрод-исследователь должен уметь находить аномалии в этих данных.

Ограничения и контекст

Работа с отпечатками усложняется. Инициативы вроде Privacy Sandbox ограничивают доступ к API браузера для защиты конфиденциальности. Кроме того, легитимные обновления ПО могут массово менять отпечатки миллионов пользователей.

{
  "os": "Android 14",
  "browser": "Chrome 124",
  "screen_resolution": "2560x1440",
  "available_fonts": ["Arial", "Verdana", "MS Comic Sans"],
  "platform": "Win32",
  "touch_support": true
}

Мы научились идентифицировать «железо», но опытный мошенник умеет имитировать параметры устройства. Чтобы окончательно раскрыть схему, нужно изучить не только устройство, но и поведение. В следующей теме мы разберем методы анализа поведенческих данных: от движений мыши до скорости ввода текста.