Языки браузера, локация и их использование в Антифрод-системах

29.11.24

Современные браузеры поддерживают множество языков для отображения контента, локализации интерфейса и работы с пользовательскими предпочтениями. Эта функциональность, будучи изначально направленной на удобство пользователей, стала важной частью антифрод-систем. Анализ языковых настроек позволяет выявлять возможные несоответствия между заявленным профилем пользователя и его реальными параметрами устройства.

#### Что такое языки браузера?
Языки браузера определяют, какой язык используется для отображения веб-страниц, интерфейса браузера и других элементов. Они представлены в виде списка предпочтительных языков, который браузер отправляет серверу в HTTP-заголовке Accept-Language. Также языковая информация может быть получена через объект navigator.language или navigator.languages в JavaScript.

#### Как формируется языковой отпечаток?
Языковой отпечаток (language fingerprint) включает следующие данные:
   1. **Accept-Language** — перечень предпочтительных языков и их приоритет.
    • Пример: en-US,en;q=0.9,ru;q=0.8
   2. **navigator.language** — основной язык браузера.
    • Пример: en-US
   3. **navigator.languages** — массив предпочтительных языков.
    • Пример: [ "en-US", "en", "ru-RU" ]
   4. **Язык интерфейса браузера** — язык, на котором отображается сам браузер.
   5. **Язык операционной системы **— язык, установленный на уровне ОС.
Эти параметры формируют комбинацию, которая может быть использована для идентификации пользователя.

#### Применение языков в антифрод-системах
Антифрод-системы анализируют языковые данные для выявления потенциально подозрительных пользователей. Вот несколько ключевых сценариев их использования:
   1. **Выявление несоответствий:**
    • Если язык интерфейса браузера не совпадает с языком операционной системы.
    • Если Accept-Language содержит языки, не используемые в регионе пользователя.
    • Если предпочтительные языки пользователя меняются слишком часто.
   2. **Проверка соответствия геолокации:**
    • Языковые настройки сравниваются с географическим положением пользователя, определённым по IP-адресу или GPS.
    • Например, если IP-адрес указывает на Францию, а языковые параметры настроены на китайский язык, это может вызвать подозрения.
   3. **Определение подмены параметров:**
    • Если параметры navigator.language и navigator.languages противоречат друг другу.
    • Если язык браузера меняется при каждом новом визите.

###### Методы подмены языковых параметров
Злоумышленники, стремясь обойти антифрод-системы, могут использовать различные методы для изменения языковых настроек:
   1. **Подмена HTTP-заголовка Accept-Language:**
    • С помощью прокси или специального ПО изменяется содержимое заголовка, чтобы оно соответствовало желаемому профилю.
   2. **Изменение параметров браузера:**
    • Использование антидетект-браузеров, позволяющих задавать произвольные значения navigator.language и navigator.languages.
   3. **Эмуляция локализации:**
    • В браузере изменяется язык интерфейса, чтобы создать иллюзию соответствия региону.
   4. **Частичная маскировка:**
    • Добавление дополнительных языков в Accept-Language, чтобы создать более универсальный профиль.

###### Как антифрод-системы выявляют подмену языков?
   1. **Анализ согласованности:**
    • Проверка, чтобы все языковые параметры (HTTP-заголовок, navigator.language, язык интерфейса) соответствовали друг другу.
   2. **Проверка на редкие комбинации:**
    • Выявление необычных языковых предпочтений, которые редко встречаются в реальной жизни (например, en-GB,ar-KW,ja-JP).
   3. **Сравнение с эталонными данными:**
    • Использование базы данных для проверки вероятности использования определённых языков в конкретном регионе.
   4. **Динамическое тестирование:**
    • Изменение языковых параметров на сайте и проверка реакции браузера. Например, если браузер не отражает изменения, это может указывать на подмену.
   5. **Локализация ошибок и сообщений:**
    • Анализ языка системных сообщений браузера. Это трудно подделать, так как язык сообщений зависит от настройки ОС.

#### Анализ языковых отпечатков
Проверим, какие данные о местонахождении пользователя может получить сайт, откроем страницу <a href="https://browserleaks.com/javascript" target="_blank">browserleaks.com/javascript</a> в нашем браузере Chrome:

![](/media/mdeditor/1_20241128195706999105.jpg)

На этой странице сайт получает информацию о дате и времени на устройстве пользователя, часовом поясе, локали, формате часов, типе календаря, системе записи чисел, основном и предпочтительных языках и информацию о синтезированных голосах в интерфейсе контроллера речевого сервиса.
Проверим информацию о местонахождении по ip-адресу, откроем страницу <a href="https://browserleaks.com/ip" target="_blank">browserleaks.com/ip</a>

![](/media/mdeditor/2_20241128195808761231.jpg)

На этой странице сайт получает подробную информацию об ip-адресе пользователя и языках в http-заголовках.
Посмотрим на нашей тестовой странице <a href="https://test-webapi.tech/language" target="_blank">test-webapi.tech/language</a>, какую ещё информацию может собирать сайт о местонахождении из браузера пользователя, Откроем страницу в браузере Chrome на сервере.
Раздел T**ime Accuracy Check:**

![](/media/mdeditor/3_20241128195835163205.png)

В этом разделе мы получаем ip-адрес посетителя, проверяем Location с помощью стороннего сервиса по ip-адресу, получаем Coordinates и Browser Timezone из браузера пользователя
**Важно:** на тестовой странице, все выводы о несоответствии параметров не являются точными и представлены только для примера анализа полученных данных.

В разделе **Geolocation Services Results** страница получает информацию об ip-адресе из нескольких баз и сравнивает с полученной информацией в разделе Time Accuracy Check:

![](/media/mdeditor/4_20241128195917569229.png)

В разделе **Local Time Information** мы видим время, дату и часовой пояс непосредственно из браузера посетителя:

![](/media/mdeditor/5_20241128200152671454.png)

В разделе **Browser Language Settings** определяются языки браузера с помощью JavaScript и http-заголовков в основном потоке, web worker и service worker, после чего значения сравниваются между собой:

![](/media/mdeditor/6_20241128200216624491.png)

Заметим, что наличие русского языка у пользователя из Финляндии, уже может определяться Антифрод-системами как нетипичный показатель, особенно при массовых регистрациях аккаунтов.

Рассмотрим следующий раздел - **System Messages Language Analysis:**

![](/media/mdeditor/7_20241128200239152793.png)

В этом разделе определяется язык сообщений об ошибках, язык текста валидации сообщений форм и язык системных сообщений в браузере пользователя.

В разделе **Internationalization Details** мы видим региональные настройки, тип календаря, часовой пояс и систему счисления с помощью браузера из системных настроек устройства пользователя. Так же определяются форматы дат и формат отображения валют:

![](/media/mdeditor/8_20241128200257399041.png)

Формат отображения валют зависит от языковых настроек системы

![](/media/mdeditor/9_20241128200311647366.png)

![](/media/mdeditor/10_20241128200328909185.png)

Перейдём к последнему разделу **Speech Synthesis Voices**. В этом разделе проверяются доступные голоса для синтеза речи в браузере:

![](/media/mdeditor/11_20241128200347268087.png)

Набор голосов и их количество отличаются в браузерах, устройствах, и этот параметр позволяет Антифрод-системам достаточно точно идентифицировать пользователей и определять подозрительные визиты, особенно в сравнении с языковыми настройками браузера. Далее представлены несколько примеров с разных устройств:

ПК Intel (браузер Chrome)

![](/media/mdeditor/12_20241128200410776819.png)

ПК Intel (браузер Chromium)

![](/media/mdeditor/13_20241128200433904095.png)

Пк Intel (браузер Firefox)

![](/media/mdeditor/14_20241128200456147820.png)

ПК AMD (браузер Chrome)

![](/media/mdeditor/15_20241128200518993933.png)

ПК AMD (браузер Chromium)

![](/media/mdeditor/16_20241128200538283209.png)

ПК AMD (браузер Firefox)

![](/media/mdeditor/17_20241128200555713063.png)

В результатах тестов, мы видим, что список голосов для синтеза речи отличается как между разными устройствами, так и в разных браузерах.
Проверим антидетект-браузер, откроем страницу без профиля, с базовыми настройками:

В результатах этого теста есть несколько расхождений в значениях: 
    • Антидетект-браузер указывает на Time Zone - Europe/Moscow.
    • Представляет использование только en-US языка.
    • Использует всего 2 Voices из Ru локали (аналогично браузеру Chromium).
    • Представляется в заголовке User-Agent браузером Chrome.

Попробуем применить профиль в антидетект-браузере и повторить тест:

После применения профиля, антидетект-браузер правильно подменяет все параметры языка относительно заданного местоположения, кроме одного: сообщения валидации форм браузер показывает на En – языке, что является подозрительным при использовании основным Ru –  языка в браузере.

#### Определение Языка в браузере пользователя на примере Amazon и Google

Проверим, какую информацию о языках из нашего браузера получает сайт Amazon. Откроем главную страницу в браузере Chrome:

![](/media/mdeditor/20_20241128200911396697.png)

При простом анализе файлов JavaScript можно заметить, что сайт получает информацию о предпочтительном языке и доступных языках в нашем браузере.
Проверим, какую информацию о языках собирает Google. Откроем поисковую выдачу и посмотрим на код.

![](/media/mdeditor/21_20241128200928492878.png)

Сайт точно определил, что мы используем ru-язык, заметим, что браузер открыт на сервере, расположенном в Германии, что Google так же определяет (ru-DE).

![](/media/mdeditor/22_20241128200951041106.png)

![](/media/mdeditor/23_20241128201007235412.png)

Google так же собирает информацию о предпочтительном языке и доступных языках. Так же сайт анализирует события изменения языка голоса, языка целевого перевода и фиксирует информацию о выборе предложенного языка.

#### Вывод
Анализ языковых параметров браузера предоставляет антифрод-системам значительный объём информации для проверки подлинности пользователя. Эти параметры помогают выявлять несоответствия между настройками браузера, операционной системы, HTTP-заголовков и геолокацией, что позволяет распознавать потенциально подозрительное поведение. Тесты показали, что методы подмены языковых параметров, такие как использование антидетект-браузеров или изменение HTTP-заголовков, не всегда эффективны. Даже незначительные расхождения, например, язык системных сообщений, могут вызывать подозрения. Таким образом, языковые настройки становятся важным компонентом комплексной оценки профиля пользователя. Многие антифрод-системы активно используют языковой отпечаток как одну из основных метрик для анализа поведения, сопоставления данных и выявления подмен.

Языковые параметры браузера — это мощный инструмент, который помогает антифрод-системам выявлять несоответствия и повышать безопасность проверок. Несмотря на попытки злоумышленников подменять языковые данные, системы выявляют такие манипуляции благодаря анализу согласованности параметров и редких комбинаций. Языковой отпечаток, формируемый на основе множества параметров, широко применяется для идентификации пользователей и обнаружения подозрительной активности. Использование этих данных в сочетании с другими механизмами, такими как геолокация и часовые пояса, позволяет значительно повысить точность детектирования мошенничества.
В следующей статье мы продолжим разбор технологий браузера, используемых в антифрод-системах.

*Bannykh M.V.*

Еще не с нами?

Зарегистрируйтесь, чтобы получить доступ ко всем возможностям сайта.

Регистрация