BrowserLeaks の検出方法とは？11項目のテストと完全なチェック順序

BrowserLeaks のトップページを開くと、IP、Canvas、WebGL、フォント、TLS といった検出項目が長い列になって並んでいます。全部押して回ると1時間以上かかることもあります。ページを閉じたあとに、どの項目で何が分かったのか思い出せない人は少なくありません。IP のページだけ開いて終える人もいます。ページスクリプトのパラメータは一つも触れていません。

どちらの進め方でも安定した結論は得られません。問題は順序です。読み取り値同士が対応せず、測り終えても環境に問題があるか説明できません。

本稿では BrowserLeaks の主要な検出項目から11項目を取り上げ、ネットワーク出口、ページ読み取り、接続宣言の3グループに分けて整理します。まず各グループが何を測るのかを説明します。そのうえで、出口からハンドシェイクまでの一連のチェック順序を示します。どのページもブラウザで直接開くだけで測定できます。

サイト構造：1ページ1項目、まず3グループに分ける

BrowserLeaks のやり方は、検出の各次元を独立した1ページにすることです。トップページは入り口です。フィンガープリントブラウザのユーザーが日常で通すべきなのは11項目の主要検出です。コンテンツフィルタリング検出や CSS メディアクエリ、拡張機能検出などの追加項目は、必要に応じて加えて測ります。Flash や Java の旧プラグイン検出は更新が止まっています。気にする必要はありません。

11項目は読み取り値の出どころで3グループに分かれます。第1グループはリクエストがどこから出ていくかを見ます。第2グループはページスクリプトが何を読み取ったかを見ます。第3グループは接続ハンドシェイクの宣言を見ます。まず全体表を示します：

3グループそれぞれの確認ポイント

第1グループは出口グループで、4項目が同じ問いに答えます：リクエストは本当にプロキシから出ていっているか。/ip では IP と所在地を、/dns では名前解決がプロキシを回避してローカルに抜けていないかを確認します。/webrtc ではブラウザが WebRTC 経路から実アドレスを漏らしていないかを、/geo では位置情報の読み取り値を見ます。出口グループでリークが見つかったら、後の項目はいったん中断です。先にプロキシと環境設定を直しましょう。

WebRTC のモード選びに迷うなら、フィンガープリントブラウザの WebRTC 設定に3モードそれぞれの使いどころがあります。解決経路の判定を詳しく知りたいときは、DNS リーク検出ガイドに完全な手順があります。

第2グループは読み取りグループで、5項目がページスクリプトが取得する環境パラメータに対応します。/javascript はスクリプトエンジンと基本の読み取り値を報告します。/canvas、/webgl、/fonts、/rects は、それぞれ画像描画、GPU、フォント、要素位置の指紋源です。このグループで確認するのは2点です。読み取り値がデバイス像と一致しているか。同一環境で何度測っても値が安定するか。

描画の仕組みとハッシュの読み方をさらに細かく知りたいときは、Canvas 指紋ガイドで展開しています。

第3グループは宣言グループで、2項目がクロスチェックを担います。client-hints のページでは、リクエストヘッダーが宣言するブラウザブランドとプラットフォームが、ページスクリプトの読み取り値と同じセットかを見ます。/tls では、ハンドシェイク時の暗号の特徴が主張するカーネルバージョンと釣り合うかを確認します。この2項目は前の2グループの読み取り値との照らし合わせが前提です。単独では問題が見えません。だから最後に測ります。

順序の組み方：3周で完走する

順序は依存関係次第です。出口、読み取り、宣言の三段構え。

1. 第1周目は出口を確認：/ip、/dns、/webrtc、/geo を実行します。プロキシが効いていない、またはリークがある場合は、そこで止めてネットワークを先に直します。指紋項目は測っても無駄になります。

2. 第2周目は読み取りを確認：/javascript、/canvas、/webgl、/fonts、/rects を実行します。項目ごとにデバイス像との一致と同一環境での安定性を照らします。異常な項目は記録しておきます。

3. 第3周目は宣言を確認：/client-hints、/tls を実行します。前の2周の読み取り値を手元に置いて照らし合わせます。宣言、スクリプト、ハンドシェイクの3者が一致していることを確かめます。

3周をどこまで細かく回すかは、環境の重要度に合わせます。日常の新環境では第1周のあとに /canvas と /webgl を足せば、数分で終わります。重要なアカウントは本格運用の前に11項目をすべて回します。読み取り値は日付と一緒に環境ファイルへ記録しましょう。あとから設定変更を調べるときの手がかりになります。

3つの検出サイトは、同じ発想で役割分担ができます。Whoer は総合スコアを出すので、毎日の簡易チェックに向いています。Browserscan はパラメータのスナップショットを出すので、巡回時の照合に向いています。BrowserLeaks は1ページ1項目なので、具体的な問題を掘り下げるのに向いています。スコアがおかしいと感じたら、3周の順序をなぞるだけで問題のページを特定できます。総合スコアが低いのに減点箇所を説明できない場合は、まずWhoer 検出ガイドのスコア構成と照らします。そのうえで該当する周を追加で回す方が、やみくもに再測するより時間を節約できます。

MostMate の環境設定との対応

検出の読み取り値は、最終的に環境設定へ反映させてこそ意味があります。MostMate はフィンガープリントブラウザです。環境はアカウントごとに個別に作成します。データは互いに分離します。11項目の読み取り値のほとんどは、作成フォームの中で対応箇所を確認できます。

出口グループの4項目は、プロキシ設定と WebRTC のモードに対応します。プロキシは独立したリストで管理し、各環境へ割り当てます。WebRTC は実アドレス、禁止、カスタムの3択です。

読み取りグループの5項目は、指紋設定の各パラメータに対応します。言語、タイムゾーン、位置情報はデフォルトで「IP に基づく設定」により生成されます。画面、コア数、メモリなどは実測値または指定の段階から選べます。宣言グループに対応する入口は、OS とブラウザバージョンの選択です。UA は選択に応じて生成され、あとから編集もできます。2か所の宣言が同じソースかどうかは、client-hints のページに戻って確認すれば十分です。

指紋プレビューパネルは、環境を作る時点で各パラメータの値を一覧表示します。明らかな矛盾はその場で直せます。検出ページで見つかるのを待つ必要がありません。作成フロー全体の姿は、MostMate 製品紹介ページで先に確認しておくと安心です。検出と設定で揃えるのは環境レイヤーのシグナルです。アカウントがプラットフォームに紐づくかどうかは、プラットフォームのルールと利用行動にも左右されます。

よくある質問

BrowserLeaks は登録が必要ですか？費用はかかりますか？

登録は不要です。検出ページを開くと自動で実行されます。主要な検出は無料です。BrowserLeaks はデータ提供 API で収益を上げているため、一般の利用者はそのまま測るだけで構いません。

11項目を毎回すべて回す必要がありますか？

日常では不要です。第1周の出口グループに読み取り項目を2、3個足せば、数分で大半のリスクをカバーできます。重要な環境の本格運用前や、読み取り値同士が噛み合わないときには、11項目をすべて回します。

同じ環境で2回測ると結果が違います。正常ですか？

項目ごとに判断します。Canvas のハッシュ、フォント一覧、出口 IP などは安定しているべき項目です。繰り返して違う値が出るなら、設定に問題があります。一部の動的な表示項目は多少揺れます。異常ではありません。

BrowserLeaks と Whoer、どちらを使うべきですか？

両者は競合しません。Whoer は総合スコアを出すので、毎日の簡易チェックに向いています。BrowserLeaks は1ページ1項目なので、具体的な問題の絞り込みに向いています。2つを組み合わせた読み取り値の解釈は、Whoer 検出ガイドに対照があります。

まとめ

BrowserLeaks の11項目の主要検出は、本質的には環境の階層ごとの確認です。出口グループはリクエストがどこから出ていくかを確かめ、読み取りグループはスクリプトが何を見たかを確かめ、宣言グループはハンドシェイクと読み取り値が同じソースかを確かめます。各周ごとに確認対象が明確に決まっています。

新しい環境の本格運用前には、3周を一通り回しておきましょう。読み取り値は記録します。こうした確認を日常フローに組み込みたい場合は、MostMate をダウンロードしてください。環境を作ったら指紋プレビューを先に確認します。それから、検出ページで項目ごとに通しましょう。