ตรวจสอบ UserAgent อย่างไรให้สอดคล้อง เจาะจุดอ่อน 4 อย่างจาก UA ที่ไม่ตรงกัน

ในเว็บตรวจสอบ ช่อง UA แสดงผลปกติ แต่หลังล็อกอินไม่กี่วัน บัญชีก็เด้งคำยืนยันอีกครั้ง หลายคนแรกสุดคือเปลี่ยน UA ตัวใหม่ หรือติดตั้งส่วนเสริมเปลี่ยน UA เพิ่ม ผลคือสัญญาณผิดปกติปรากฏถี่ขึ้นกว่าเดิม

ปัญหาลักษณะนี้ส่วนใหญ่ติดที่ความสอดคล้อง UA เป็นฟิลด์เดียว แต่แพลตฟอร์มอ่านค่านี้มากกว่าหนึ่งจุด ถ้าแก้แค่จุดเดียว จุดที่เหลือยังคงค่าเดิม พอเทียบกันก็ขัดแย้งทันที

ก้าวแรกของการตรวจ UA คือดูว่าฟิลด์นี้พูดเรื่องเดียวกันในทุกจุดที่แพลตฟอร์มมองเห็นหรือไม่ ก้าวต่อมาจึงเทียบกับอุปกรณ์ ภูมิภาค และพารามิเตอร์อื่น ๆ บทความนี้เจาะ 3 ช่องทางที่แพลตฟอร์มใช้อ่าน UA ก่อน แล้วยกสัญญาณไม่ตรงกัน 4 ประเภท สุดท้ายให้เช็กลิสต์ 5 จุดเทียบ พร้อมวิธีตั้งค่าในเบราว์เซอร์ลายนิ้วมือ

3 ช่องทางที่แพลตฟอร์มใช้อ่าน UA

ค่า UA เดียวกัน แพลตฟอร์มอ่านจริงจากสามจุด ได้แก่ ส่วนหัวคำขอ HTTP ส่วนหัว Client Hints และสคริปต์หน้าเว็บ สามช่องทางเป็นอิสระจากกัน และตรวจแยกกันได้

ตอนส่งคำขอ สตริง UA ในส่วนหัวเป็นช่องทางแรกสุด ไซต์อ่านได้ก่อนหน้าเว็บจะมาถึงด้วยซ้ำ Chrome ตั้งแต่เวอร์ชัน 89 แยกข้อมูลอุปกรณ์ออกไปรายงานในชุดส่วนหัว Sec-CH-UA โดยยี่ห้อเบราว์เซอร์ แพลตฟอร์ม และเวอร์ชันแพลตฟอร์มใช้ส่วนหัวคนละตัว ไซต์จะสอบถามตามความจำเป็น เอกสาร Client Hints ของ MDN อธิบายโครงสร้างของส่วนหัวเหล่านี้ไว้ละเอียดชัดเจน

ช่องทางที่สามอยู่ในสคริปต์หน้าเว็บ navigator.userAgent และ navigator.userAgentData จะรายงานข้อมูลเบราว์เซอร์และแพลตฟอร์มซ้ำอีกครั้งจากภายในหน้า ตามทฤษฎีค่าที่อ่านได้ทั้งสามจุดต้องตรงกันทีละตัวอักษร ถ้าแก้จุดใดจุดหนึ่งเพียงลำพัง อีกสองจุดจะไม่เปลี่ยนตาม

ส่วนเสริมเปลี่ยน UA ติดตรงนี้พอดี ส่วนใหญ่แทนสตริง UA เฉพาะในส่วนหัว สคริปต์หน้าเว็บอ่านได้ค่าเดิม สองช่องทางขัดกันทันที การจับความขัดแย้งแบบนี้ไม่ต้องใช้เทคนิคสูง สคริปต์ควบคุมความเสี่ยงเอาค่าสองจุดมาเทียบกันก็พอ

มีบริบทอีกอย่างที่ควรพูดถึง Chrome กำลังค่อย ๆ ตรึงข้อมูลในสตริง UA แบบเดิม ท้ายเลขเวอร์ชันถูกล็อกค่าไว้ รายละเอียดเพิ่มเติมย้ายไปอยู่ใน Client Hints พื้นที่สำหรับเล่นกับสตริง UA เพียงอย่างเดียวจึงแคบลง สิ่งที่สำคัญขึ้นเรื่อย ๆ กลับเป็นว่าช่องทางเหล่านี้จะเข้ากันได้หรือไม่

UA ไม่ตรงกันเผยอะไร: สัญญาณ 4 ประเภท

UA ตัวเองไม่มีคำตอบว่าจริงหรือปลอม จุดอ่อนจะเห็นก็ต่อเมื่อวางกลับเข้าชุดสัญญาณรวม ความไม่ตรงกันตอนสภาพแวดล้อมมีปัญหา ส่วนใหญ่จัดอยู่ใน 4 ประเภทด้านล่างนี้

ประเภทแรก ช่องทางขัดกันเอง ส่วนหัวรายงาน Chrome 126 แต่สคริปต์หน้าเว็บยังอ่านได้ Chrome 118 หรือยี่ห้อที่ประกาศใน Sec-CH-UA ไม่ตรงกับค่าที่ navigator.userAgentData ส่งกลับ ค่าแบบนี้มีคำอธิบายเดียวเกือบทั้งหมด UA ถูกแก้เฉพาะจุด และการแก้ไม่ครอบคลุมทุกช่องทาง

ประเภทที่สอง คำประกาศขัดกับพารามิเตอร์ฮาร์ดแวร์ UA ระบุ iPhone แต่หน้าจอเป็นความละเอียดเดสก์ท็อป 1920×1080 และจำนวนจุดสัมผัสเป็นศูนย์ UA ประกาศ Windows แต่ GPU renderer รายงานชิปของ Apple พารามิเตอร์ฮาร์ดแวร์เป็นค่าที่วัดจากสภาพแวดล้อมจริง ส่วน UA ใส่ค่าอะไรก็ได้ตามใจ พอเทียบกัน รอยต่อจะเด่นกว่าตัว UA เองมาก ที่มาของความขัดแย้งแบบนี้ ทำไมการสุ่มลายนิ้วมือจึงไม่ปลอดภัย เคยแยกไล่ทีละพารามิเตอร์มาแล้ว

ประเภทที่สาม ขัดกับสภาพแวดล้อมโดยรวม IP ปลายทางอยู่สหรัฐฯ แต่ UA เป็นเบราว์เซอร์ภาษาจีน รายการภาษาและเขตเวลาก็เอียงไปอีกภูมิภาค UA ระบบ ภาษา เขตเวลา และ IP ควรประกอบกันเป็นภาพภูมิภาคเดียวกัน ของใดเอียงไป ภาพรวมทั้งชุดก็น่าสงสัย ความขัดแย้งแบบนี้เปลี่ยน UA ไม่หาย ต้องแก้ที่การตั้งค่าสภาพแวดล้อม

ประเภทที่สี่ ไม่สอดคล้องกับลักษณะชั้นขนส่งข้อมูล ลักษณะจาก TLS handshake ดูเหมือนเครื่องมือสคริปต์ หรือเหมือนเบราว์เซอร์เวอร์ชันเก่ามาก แต่ส่วนหัวรายงาน Chrome เวอร์ชันใหม่ ลักษณะชั้นขนส่งปลอมยากกว่า UA และแพลตฟอร์มเทียบสองฝ่ายว่าเข้าคู่กันหรือไม่ก็ไม่แพง

ใน 4 ประเภทนี้ สามประเภทแรกเลี่ยงได้ตั้งแต่ขั้นตอนตั้งค่าสภาพแวดล้อม ประเภทที่สี่ขึ้นกับวิธีเชื่อมต่อเป็นหลัก การตรวจเองตามปกติให้จับสามประเภทแรกไว้ เมื่อเห็นค่าขัดแย้งกัน ให้ย้อนกลับไปเช็กการตั้งค่า

ตรวจความสอดคล้องอย่างไร: 5 จุดเทียบ

การตรวจไม่จำเป็นต้องพึ่งเว็บตรวจสอบใดเว็บหนึ่ง ไล่ 5 จุดเทียบตามลำดับ

1. เทียบช่องทาง: เปิดหน้าตรวจสอบจากสภาพแวดล้อม ใช้แท็บ Network ในเครื่องมือนักพัฒนาดู UA และ Sec-CH-UA ในส่วนหัว แล้วเทียบกับค่า navigator.userAgent ในคอนโซล ทั้งสามจุดต้องตรงกัน

2. เทียบฮาร์ดแวร์: ประเภทอุปกรณ์ที่ UA ประกาศ ต้องเทียบทีละรายการกับความละเอียดหน้าจอ ความสามารถสัมผัส GPU renderer จำนวนคอร์ และหน่วยความจำ ประกาศว่าเป็นอุปกรณ์แบบใด ค่าที่วัดได้ต้องเป็นแบบนั้น

3. เทียบภูมิภาค: ภาษาใน UA รายการภาษาของเบราว์เซอร์ เขตเวลา และ IP ปลายทางต้องอยู่ในภาพภูมิภาคเดียวกัน ส่วนการประกาศฝั่งมือถือยังต้องเข้ากับลักษณะของเครือข่ายมือถือด้วย

4. เทียบเวอร์ชัน: เวอร์ชันเบราว์เซอร์ใน UA ควรอยู่ในช่วงหลักของตลาดเป้าหมาย เวอร์ชันใหม่เกินไปหรือค้างอยู่ที่เวอร์ชันเก่าเมื่อหลายปีก่อนล้วนเป็นสัญญาณผิดปกติ และต้องเข้ากับพฤติกรรมของเอนจินด้วย

5. บันทึกการตรวจซ้ำ: หลังปรับการตั้งค่า ให้ผ่านหน้าตรวจสอบอีกรอบ และเก็บค่าที่อ่านได้ของแต่ละครั้งไว้ คราวหน้าเมื่อสภาพแวดล้อมผิดปกติ บันทึกเหล่านี้คือจุดเริ่มไล่ปัญหา

ด้านเครื่องมือ CreepJS เชี่ยวชาญเก็บความขัดแย้งระหว่างค่าที่สคริปต์หน้าเว็บอ่านได้กับค่าที่เบราว์เซอร์อ้างว่าเป็น ใช้ตรวจสภาพแวดล้อมที่แก้ UA แล้ว ความขัดแย้งของช่องทางจะถูกชี้ออกมาตรง ๆ ส่วนเว็บตรวจสอบแบบรวมอย่าง Browserscan เหมาะกับการอ่านภาพรวมทั้งห้าพารามิเตอร์ ใช้เครื่องมือสองประเภทคู่กัน UA เป็นเพียงหนึ่งสัญญาณในความสอดคล้องของสภาพแวดล้อมทั้งชุด ลำดับการตรวจทั้งสภาพแวดล้อมมีบทความตรวจความสอดคล้องเพื่อกันการเชื่อมโยงบัญชีไว้ ซึ่งมีเช็กลิสต์ 6 ข้อ เอามาใช้ร่วมกับ 5 จุดเทียบที่นี่ได้

จับคู่ UA ในเบราว์เซอร์ลายนิ้วมือ

แก้ตาม 5 จุดเทียบ วิธีที่ได้ผลที่สุดคือให้ UA ถูกสร้างขึ้นพร้อมพารามิเตอร์ที่เกี่ยวข้อง ไม่ใช่กรอกทีละรายการด้วยมือ MostMate เป็นเบราว์เซอร์ลายนิ้วมือ AI ที่เป็นมิตรกับมือใหม่ เตรียมสภาพแวดล้อมเบราว์เซอร์แยกให้แต่ละบัญชี ความสอดคล้องของ UA จึงอยู่ในขั้นตอนตั้งค่าสภาพแวดล้อมของมันพอดี ก่อนลงมือ ลองไล่ขั้นตอนการสร้างทั้งหมดที่ หน้าแนะนำผลิตภัณฑ์ MostMate ก่อนได้

ตอนสร้างสภาพแวดล้อม ให้เลือกระบบปฏิบัติการและเวอร์ชันเบราว์เซอร์ก่อน User-Agent จะถูกสร้างตาม และแก้ไขได้เมื่อจำเป็น การตั้งค่าภาษา เขตเวลา และตำแหน่งที่ตั้ง ค่าเริ่มต้นอยู่ที่โหมดตั้งค่าตาม IP พอเลือกพร็อกซีปลายทางแล้ว ชุดภูมิภาคของรายการเหล่านี้กับ UA จะเข้ากันเอง แผงพรีวิวลายนิ้วมือแสดงค่าปัจจุบันของ User-Agent และพารามิเตอร์อื่นแบบเรียลไทม์ ทั้งชุดจะสอดคล้องกันหรือไม่เห็นได้ตั้งแต่ขั้นสร้างสภาพแวดล้อม ไม่ต้องรอรันก่อนแล้วย้อนกลับมาแก้

ระดับความละเอียดของการตั้งค่าเลือกเองก็ได้ ในหน้าตั้งค่าลายนิ้วมือแบบมืออาชีพ มีทั้งหมดสิบเอ็ดรายการ เช่น UA หน้าจอ เขตเวลา ภาษา ต้องเลือกทีละรายการ ส่วนการตั้งค่าที่แนะนำบนหน้าแรกเว็บไซต์จะสร้างสภาพแวดล้อมที่สอดคล้องกันทั้งชุดตามตรรกะของอุปกรณ์ สองเส้นทางต่างก็มีสถานการณ์ที่เหมาะของตัวเอง

ต้องพูดถึงขอบเขตด้วย ความสอดคล้องระหว่าง UA กับการตั้งค่าสภาพแวดล้อมช่วยลดสัญญาณที่เผยตัวได้เพียงประเภทเดียว บัญชีจะถูกแพลตฟอร์มเชื่อมโยงกันหรือไม่ ยังขึ้นกับกฎของแพลตฟอร์ม ความสัมพันธ์ระหว่างบัญชี และพฤติกรรมการใช้งาน การตั้งค่าสภาพแวดล้อมแก้ได้เฉพาะชั้นของสภาพแวดล้อมเท่านั้น

คำถามที่พบบ่อย

ติดตั้งส่วนเสริมเปลี่ยน UA แล้ว ทำไมกลับถูกจับสังเกตได้ง่ายขึ้น?

ส่วนเสริมมักแก้เฉพาะช่องทางเดียวคือส่วนหัวคำขอ สคริปต์หน้าเว็บและ Client Hints ยังอ่านได้ค่าเดิม พอช่องทางขัดกันเมื่อไร เท่ากับเขียนคำว่าแก้ UA แล้ว ลงในค่าที่อ่านได้ทันที ความขัดแย้งตัวเองเป็นสัญญาณผิดปกติ เด่นกว่าไม่แก้ซะอีก

เวอร์ชันใน UA ใหม่ที่สุดยิ่งดีใช่ไหม?

อยู่ในช่วงเวอร์ชันหลักของตลาดเป้าหมายก็พอ เวอร์ชันใหม่กว่าตัวล่าสุด หรือค้างที่เวอร์ชันเก่าเมื่อหลายปีก่อน ล้วนเป็นสัญญาณผิดปกติ เวอร์ชันยังต้องเข้ากับพฤติกรรมของเอนจิน ไล่ตามความใหม่เฉย ๆ ไม่มีความหมาย

สภาพแวดล้อมเดสก์ท็อปใช้ UA มือถือได้ไหม?

ได้ แต่ความละเอียดหน้าจอ ความสามารถสัมผัส และหน่วยความจำอุปกรณ์ ต้องตั้งค่าตามอุปกรณ์มือถือไปพร้อมกัน พารามิเตอร์เหล่านี้เชื่อมกันอย่างไร ลายนิ้วมือความละเอียดหน้าจอและขนาดหน้าต่าง มีการเทียบอย่างเป็นรูปธรรม

เว็บตรวจสอบแสดงว่า UA สอดคล้องกัน แปลว่าไม่มีปัญหาแล้วใช่ไหม?

ค่าที่เว็บตรวจสอบอ่านได้ครอบคลุมเป็นหลักเฉพาะพารามิเตอร์ที่สคริปต์หน้าเว็บอ่านได้ ลักษณะชั้นขนส่งและรายละเอียดบางส่วนของ Client Hints อาจไม่อยู่ในค่าที่อ่านได้ ผ่าน 5 จุดเทียบครบก่อนค่อยสรุปจะมั่นใจกว่า

บทส่งท้าย

เป้าหมายของการตรวจ UA คือทำให้สามช่องทางกับสภาพแวดล้อมทั้งชุดเล่ารอดกันได้ ช่องทางไม่ขัดกันเอง คำประกาศตรงกับค่าที่วัดจากฮาร์ดแวร์ ชุดภูมิภาคเข้าทางกัน ช่วงเวอร์ชันสมเหตุสมผล ไล่ 5 จุดเทียบตามลำดับหนึ่งรอบ จุดอ่อนระดับ UA ส่วนใหญ่จะจัดการได้ก่อนสภาพแวดล้อมขึ้นใช้งาน ตรวจก่อนขึ้นใช้งาน ต้นทุนต่ำที่สุด

สร้างสภาพแวดล้อมใหม่คราวใด ไล่การตรวจชุดนี้ให้จบก่อนให้บัญชีเข้าใช้งาน สะดวกกว่าเจอคำยืนยันแล้วค่อยย้อนกลับมาเปลี่ยน UA มาก ถ้าอยากจัดการสภาพแวดล้อมตามขั้นตอนนี้ ดาวน์โหลด MostMate ตั้งแต่เลือกระบบ ตั้งค่าพร็อกซี ไปจนถึงเช็กพรีวิวลายนิ้วมือ จัด UA กับสภาพแวดล้อมทั้งชุดให้ครบในรอบเดียว