Мови браузера, локація та їхнє використання в Антифрод-системах

29.11.24

Сучасні браузери підтримують безліч мов для відображення контенту, локалізації інтерфейсу і роботи з призначеними для користувача уподобаннями. Ця функціональність, будучи спочатку спрямованою на зручність користувачів, стала важливою частиною антифрод-систем. Аналіз мовних налаштувань дає змогу виявляти можливі невідповідності між заявленим профілем користувача і його реальними параметрами пристрою.

#### Що таке мови браузера?
Мови браузера визначають, яка мова використовується для відображення веб-сторінок, інтерфейсу браузера та інших елементів. Вони представлені у вигляді списку бажаних мов, який браузер відправляє серверу в HTTP-заголовку Accept-Language. Також мовна інформація може бути отримана через об'єкт navigator.language або navigator.languages у JavaScript.

#### Як формується мовний відбиток?
Мовний відбиток (language fingerprint) включає такі дані:
   1. **Accept-Language** - перелік бажаних мов та їхній пріоритет.
- Приклад: en-US,en;q=0.9,ru;q=0.8
   2. **navigator.language** - основна мова браузера.
- Приклад: en-US
   3. **navigator.languages** - масив бажаних мов.
- Приклад: [ «en-US», «en», «ru-RU» ]
   4. **Мова інтерфейсу браузера** - мова, якою відображається сам браузер.
   5. **Мова операційної системи** - мова, встановлена на рівні ОС.
Ці параметри формують комбінацію, яка може бути використана для ідентифікації користувача.

#### Застосування мов в антифрод-системах
Антифрод-системи аналізують мовні дані для виявлення потенційно підозрілих користувачів. Ось кілька ключових сценаріїв їх використання:
   1. **Виявлення невідповідностей:**
- Якщо мова інтерфейсу браузера не збігається з мовою операційної системи.
- Якщо Accept-Language містить мови, які не використовуються в регіоні користувача.
- Якщо бажані мови користувача змінюються занадто часто.
   2. **Перевірка відповідності геолокації:**
- Мовні налаштування порівнюються з географічним положенням користувача, визначеним за IP-адресою або GPS.
- Наприклад, якщо IP-адреса вказує на Францію, а мовні параметри налаштовані на китайську мову, це може викликати підозри.
   3. **Виявлення підміни параметрів:**
- Якщо параметри navigator.language і navigator.languages суперечать один одному.
- Якщо мова браузера змінюється при кожному новому візиті.

###### Методи підміни мовних параметрів
Зловмисники, прагнучи обійти антифрод-системи, можуть використовувати різні методи для зміни мовних налаштувань:
   1. **Підміна HTTP-заголовка Accept-Language:**
- За допомогою проксі або спеціального ПЗ змінюється вміст заголовка, щоб він відповідав бажаному профілю.
   2. **Зміна параметрів браузера:**
- Використання антидетект-браузерів, що дають змогу задавати довільні значення navigator.language і navigator.languages.
   3. **Емуляція локалізації:**
- У браузері змінюється мова інтерфейсу, щоб створити ілюзію відповідності регіону.
   4. **Часткове маскування:**
- Додавання додаткових мов в Accept-Language, щоб створити більш універсальний профіль.

###### Як антифрод-системи виявляють підміну мов?
   1. **Аналіз узгодженості:**
- Перевірка, щоб усі мовні параметри (HTTP-заголовок, navigator.language, мова інтерфейсу) відповідали один одному.
   2. **Перевірка на рідкісні комбінації:**
- Виявлення незвичайних мовних уподобань, які рідко зустрічаються в реальному житті (наприклад, en-GB,ar-KW,ja-JP).
   3. **Порівняння з еталонними даними:**
- Використання бази даних для перевірки ймовірності використання певних мов у конкретному регіоні.
   4. **Динамічне тестування:**
- Зміна мовних параметрів на сайті та перевірка реакції браузера. Наприклад, якщо браузер не відображає зміни, це може вказувати на підміну.
   5. **Локалізація помилок і повідомлень:**
- Аналіз мови системних повідомлень браузера. Це важко підробити, оскільки мова повідомлень залежить від налаштування ОС.

#### Аналіз мовних відбитків
Перевіримо, які дані про місцезнаходження користувача може отримати сайт, відкриємо сторінку <a href="https://browserleaks.com/javascript" target="_blank">browserleaks.com/javascript</a> у нашому браузері Chrome:

![](/media/mdeditor/1_20241128195706999105.jpg)

На цій сторінці сайт отримує інформацію про дату і час на пристрої користувача, часовий пояс, локалі, формат годинника, тип календаря, систему запису чисел, основну і бажані мови та інформацію про синтезовані голоси в інтерфейсі контролера мовного сервісу.
Перевіримо інформацію про місцезнаходження за ip-адресою, відкриємо сторінку <a href="https://browserleaks.com/ip" target="_blank">browserleaks.com/ip</a>

![](/media/mdeditor/2_20241128195808761231.jpg)

На цій сторінці сайт отримує детальну інформацію про ip-адресу користувача і мови в http-заголовках.
Подивимося на нашій тестовій сторінці <a href="https://test-webapi.tech/language" target="_blank">test-webapi.tech/language</a>, яку ще інформацію може збирати сайт про місцезнаходження з браузера користувача, Відкриємо сторінку в браузері Chrome на сервері.
Розділ T**ime Accuracy Check:**

![](/media/mdeditor/3_20241128195835163205.png)

У цьому розділі ми отримуємо ip-адресу відвідувача, перевіряємо Location за допомогою стороннього сервісу за ip-адресою, отримуємо Coordinates і Browser Timezone з браузера користувача
**ВАЖЛИВО:** на тестовій сторінці, всі висновки про невідповідність параметрів не є точними та наведені лише для прикладу аналізу отриманих даних.

У розділі **Geolocation Services Results** сторінка отримує інформацію про ip-адресу з декількох баз і порівнює з отриманою інформацією в розділі Time Accuracy Check:

![](/media/mdeditor/4_20241128195917569229.png)

У розділі **Local Time Information** ми бачимо час, дату і часовий пояс безпосередньо з браузера відвідувача:

![](/media/mdeditor/5_20241128200152671454.png)

У розділі **Browser Language Settings** визначаються мови браузера за допомогою JavaScript і http-заголовків в основному потоці, web worker і service worker, після чого значення порівнюються між собою:

![](/media/mdeditor/6_20241128200216624491.png)

Зауважимо, що наявність російської мови у користувача з Фінляндії, вже може визначатися Антифрод-системами як нетиповий показник, особливо при масових реєстраціях акаунтів.

Розглянемо наступний розділ - **System Messages Language Analysis:**

![](/media/mdeditor/7_20241128200239152793.png)

У цьому розділі визначається мова повідомлень про помилки, мова тексту валідації повідомлень форм і мова системних повідомлень у браузері користувача.

У розділі **Internationalization Details** ми бачимо регіональні налаштування, тип календаря, часовий пояс і систему числення за допомогою браузера із системних налаштувань пристрою користувача. Так само визначаються формати дат і формат відображення валют:

![](/media/mdeditor/8_20241128200257399041.png)

Формат відображення валют залежить від мовних налаштувань системи

![](/media/mdeditor/9_20241128200311647366.png)

![](/media/mdeditor/10_20241128200328909185.png)

Перейдемо до останнього розділу **Speech Synthesis Voices**. У цьому розділі перевіряються доступні голоси для синтезу мови в браузері:

![](/media/mdeditor/11_20241128200347268087.png)

Набір голосів і їхня кількість відрізняються в браузерах, пристроях, і цей параметр дає змогу Антифрод-системам доволі точно ідентифікувати користувачів і визначати підозрілі візити, особливо порівняно з мовними налаштуваннями браузера. Далі наведено кілька прикладів із різних пристроїв:

ПК Intel (браузер Chrome)

![](/media/mdeditor/12_20241128200410776819.png)

ПК Intel (браузер Chromium)

![](/media/mdeditor/13_20241128200433904095.png)

ПК Intel (браузер Firefox)

![](/media/mdeditor/14_20241128200456147820.png)

ПК AMD (браузер Chrome)

![](/media/mdeditor/15_20241128200518993933.png)

ПК AMD (браузер Chromium)

![](/media/mdeditor/16_20241128200538283209.png)

ПК AMD (браузер Firefox)

![](/media/mdeditor/17_20241128200555713063.png)

У результатах тестів ми бачимо, що список голосів для синтезу мови відрізняється як між різними пристроями, так і в різних браузерах.
Перевіримо антидетект-браузер, відкриємо сторінку без профілю, з базовими налаштуваннями:

У результатах цього тесту є кілька розбіжностей у значеннях: 
- Антидетект-браузер вказує на Time Zone - Europe/Moscow.
- Представляє використання тільки en-US мови.
- Використовує всього 2 Voices з Ru локалі (аналогічно браузеру Chromium).
- Представляється в заголовку User-Agent браузером Chrome.

Спробуємо застосувати профіль в антидетект-браузері та повторити тест:

Після застосування профілю, антидетект-браузер правильно підміняє всі параметри мови відносно заданого місця розташування, окрім одного: повідомлення валідації форм браузер показує En-мовою, що є підозрілим за умови використання основною Ru-мовою в браузері.

#### Визначення Мови в браузері користувача на прикладі Amazon і Google

Перевіримо, яку інформацію про мови з нашого браузера отримує сайт Amazon. Відкриємо головну сторінку в браузері Chrome:

![](/media/mdeditor/20_20241128200911396697.png)

При простому аналізі файлів JavaScript можна помітити, що сайт отримує інформацію про бажану мову і доступні мови в нашому браузері.
Перевіримо, яку інформацію про мови збирає Google. Відкриємо пошукову видачу і подивимося на код.

![](/media/mdeditor/21_20241128200928492878.png)

Сайт точно визначив, що ми використовуємо ru-мову, зауважимо, що браузер відкритий на сервері, розташованому в Німеччині, що Google так само визначає (ru-DE).

![](/media/mdeditor/22_20241128200951041106.png)

![](/media/mdeditor/23_20241128201007235412.png)

Google так само збирає інформацію про бажану мову і доступні мови. Так само сайт аналізує події зміни мови голосу, мови цільового перекладу і фіксує інформацію про вибір запропонованої мови.

#### Висновок
Аналіз мовних параметрів браузера надає антифрод-системам значний обсяг інформації для перевірки автентичності користувача. Ці параметри допомагають виявляти невідповідності між налаштуваннями браузера, операційної системи, HTTP-заголовків і геолокацією, що дає змогу розпізнавати потенційно підозрілу поведінку. Тести показали, що методи підміни мовних параметрів, як-от використання антидетект-браузерів або зміна HTTP-заголовків, не завжди ефективні. Навіть незначні розбіжності, наприклад, мова системних повідомлень, можуть викликати підозри. Таким чином, мовні налаштування стають важливим компонентом комплексної оцінки профілю користувача. Багато антифрод-систем активно використовують мовний відбиток як одну з основних метрик для аналізу поведінки, зіставлення даних і виявлення підмін.

#### Висновок

Мовні параметри браузера - це потужний інструмент, який допомагає антифрод-системам виявляти невідповідності та підвищувати безпеку перевірок. Попри спроби зловмисників підміняти мовні дані, системи виявляють такі маніпуляції завдяки аналізу узгодженості параметрів і рідкісних комбінацій. Мовний відбиток, що формується на основі безлічі параметрів, широко застосовується для ідентифікації користувачів і виявлення підозрілої активності. Використання цих даних у поєднанні з іншими механізмами, такими як геолокація та часові пояси, дає змогу значно підвищити точність детектування шахрайства.
У наступній статті ми продовжимо розбір технологій браузера, що використовуються в антифрод-системах.

*Bannykh M.V.*

Пов'язані публікації

Антидетект

Що таке антидетект-браузери і чи варто їм довіряти

"Дізнайтеся все про антидетект-браузери: переваги, мінуси та вразливості. Чи можна їм довіряти? Приєднуйтеся зараз!

Antidetect

19.12.23

Приватність та Анонімність

Як забезпечити собі повну анонімність в Інтернеті

Розширте свої знання про анонімність в Інтернеті. Дізнайтеся, як ефективно захистити себе від деанонімізації з нашими порадами

Antidetect

21.12.23