ควรตั้งค่าพารามิเตอร์เบราว์เซอร์ฟิงเกอร์พรินต์เป็นสุ่มไหม? ยิ่งสุ่มกลับยิ่งมีปัญหา

“ผมตั้งพารามิเตอร์ทุกสภาพแวดล้อมเป็นสุ่ม คิดว่าปลอดภัยที่สุด สุดท้ายบัญชีไม่รอดถึงสามวัน” คนที่ทำหลายบัญชีคงเคยได้ยินเรื่องแบบนี้ ตามสัญชาตญาณ ถ้าค่าเปลี่ยนทุกครั้ง แพลตฟอร์มก็ควรจำเราไม่ได้ ผลจริงมักตรงกันข้าม ยิ่งสุ่ม บัญชียิ่งมีปัญหาเร็ว

ทิศทางถูกตั้งกลับด้านตั้งแต่ต้น แพลตฟอร์มไม่ได้ดูว่าเราเปลี่ยนหรือไม่ มันดูว่าเราเหมือนอุปกรณ์จริงหรือเปล่า และจุดเด่นที่สุดของอุปกรณ์จริงคือการอยู่นิ่ง

สรุปก่อน พารามิเตอร์ไม่จำเป็นต้องสุ่มแบบจงใจ สภาพแวดล้อมหนึ่งชุดเชื่อถือได้หรือไม่ ดูที่สามเรื่อง แต่ละพารามิเตอร์จริงไหม พารามิเตอร์หลายสิบตัวอธิบายกันเองได้ไหม และชุดพารามิเตอร์ของบัญชีเดิมทนการตรวจทานข้ามเวลาได้ไหม การสุ่มแตะเรื่องแรก และพังอีกสองเรื่องที่เหลือ ด้านล่างจะแยกก่อนว่า “แยกอิสระ” กับ “สุ่ม” ดูแลคนละส่วนอย่างไร แล้วเปิดพารามิเตอร์ฟิงเกอร์พรินต์ออกดูทีละกลุ่ม จากนั้นชี้ว่าการสุ่มพังตรงไหน

สภาพแวดล้อมแยกอิสระกับพารามิเตอร์สุ่ม เป็นเรื่องเดียวกันหรือเปล่า?

เคลียร์ความเข้าใจผิดที่พบบ่อยก่อน คนที่เพิ่งเริ่มจำนวนมากคิดว่าแต่ละสภาพแวดล้อมมีขอบเขตของตัวเองอยู่แล้ว พารามิเตอร์ก็ต้องสุ่มสิ ไม่งั้นสภาพแวดล้อมก็เหมือนกันหมด

ความแยกอิสระของสภาพแวดล้อมดูแลเรื่องเส้นแบ่ง สภาพแวดล้อมสองชุดไม่ใช้เซสชันล็อกอินและข้อมูลเว็บไซต์ร่วมกัน การกระทำในสภาพแวดล้อม A ไม่ลามไปถึงสภาพแวดล้อม B เรื่องนี้เป็นงานของเทคนิคแยกสภาพแวดล้อม ไม่เกี่ยวกับว่าพารามิเตอร์ได้ค่าเท่าไร ส่วนการสุ่มพารามิเตอร์ดูแลเรื่องค่า ตัดสินว่าสภาพแวดล้อมหนึ่งอ่านออกมาเป็นอุปกรณ์แบบไหน

แบ่งงานสองอย่างนี้ได้ด้วยประโยคเดียว ระหว่างบัญชีต่างกันต้องมีเส้นแบ่ง ภายในบัญชีเดียวกันต้องต่อเนื่อง เส้นแบ่งอาศัยการแยกอิสระ ความต่อเนื่องอาศัยความนิ่ง การสุ่มเอาโจทย์เรื่องเส้นแบ่งไปใช้ผิดที่กับความต่อเนื่อง สิ่งที่ควรนิ่งภายในบัญชีจึงถูกทุบสร้างใหม่ทุกครั้ง

พารามิเตอร์ฟิงเกอร์พรินต์มีอะไรบ้าง เว็บไซต์อ่านได้อย่างไร?

พารามิเตอร์ฟิงเกอร์พรินต์ที่เบราว์เซอร์เปิดเผย แค่ตัวที่ถูกพูดถึงบ่อยก็เกินยี่สิบรายการ ไม่ต้องจำหมด แบ่งตามวิธีที่เว็บไซต์ได้มาก็ชัดพอ กลุ่มแรกเบราว์เซอร์ประกาศเอง เว็บไซต์ยิงคำขอครั้งเดียวก็อ่านได้:

กลุ่มที่สองเว็บไซต์ไม่ถาม แต่วัดเองสด ๆ Canvas กับ WebGL คือตัวอย่างชัดที่สุด ให้เบราว์เซอร์วาดภาพหนึ่งรูปกับเรนเดอร์ฉากสามมิติ การ์ดจอกับไดรเวอร์ต่างกันให้ผลต่างกันเล็กน้อย เว็บไซต์เอาผลนั้นมาเทียบย้อนกับตัวตนที่เบราว์เซอร์ประกาศเอง

พารามิเตอร์ที่ประกาศเอง เว็บไซต์ทำได้แค่รับไปตามนั้น ส่วนผลที่วัดสด ๆ เกิดตอนนั้นเลย แก้ไม่ได้ ทำได้แค่ปลอม นี่คือรากที่ทำให้การสุ่มมีปัญหา

ทำไมพารามิเตอร์สุ่มจึงมีปัญหา?

ปลั๊กอินสุ่มแตะพารามิเตอร์สองกลุ่มข้างบนนี้พอดี แต่ละกลุ่มมีทางพังคนละแบบ

เริ่มจากกลุ่มที่ประกาศเอง เอา User-Agent ความละเอียด และฟอนต์มาสุ่มดึงแยกกัน ผลที่ได้มักประกอบไม่เป็นเครื่องที่มีจริง รายการฟอนต์ของ Windows กลับมาพร้อมคำประกาศของ macOS ความละเอียดถูกดึงเป็นขนาดมือถือ แต่ตัวตนที่ประกาศยังเป็นเครื่องตั้งโต๊ะ โมเดลควบคุมความเสี่ยงของแพลตฟอร์มเคยเห็นบันทึกอุปกรณ์จริงมหาศาล ชุดค่าที่ประกอบกันไม่ติดแบบนี้ถูกจับได้ในพริบตา

ยังมีอีกแบบที่ซ่อนกว่า เพื่อความง่าย ปลั๊กอินสุ่มเปลี่ยนพารามิเตอร์ของทุกคนให้เป็นค่าเดียวยอดนิยม พอคนใช้เยอะ บัญชีที่ไม่เกี่ยวข้องกันเลยจำนวนหนึ่งก็แบกค่าเดียวกันนั้นวิ่งเต็มเน็ต แพลตฟอร์มไม่ต้องแยกรายตัว รู้จักค่านั้นก็พอ

มาต่อกลุ่มที่วัดสด ๆ ปลั๊กอินแบบเติมนอยซ์อย่าง Canvas ให้ผลต่างกันเล็กน้อยทุกครั้งที่อ่าน ภาพเดิม วันนี้ออกค่าหนึ่ง พรุ่งนี้ออกอีกค่า อุปกรณ์จริงไม่เป็นแบบนั้น ค่าที่อ่านได้จากเครื่องเดิมนิ่งสนิทตลอดการใช้งานปกติ สองครั้งที่อ่านไม่ตรงกันจึงเป็นสัญญาณผิดปกติในตัว

แพลตฟอร์มเคยเห็นจังหวะการเปลี่ยนของอุปกรณ์จริงด้วย เบราว์เซอร์อัปเวอร์ชันใหญ่ ติดตั้งระบบใหม่ ปีหนึ่งมีไม่กี่ครั้ง แถมพร้อมกันทั้งเน็ต การสุ่มไม่มีความถี่แบบนั้น เข้าชมทุกครั้งก็เกิดได้ มีแค่เราเท่านั้นที่เปลี่ยน

การสุ่มเปลี่ยนค่าพารามิเตอร์ แต่เปลี่ยนคำตัดสินว่า “เหมือนอุปกรณ์จริงหรือไม่” ไม่ได้

ดูฟิงเกอร์พรินต์ ทำไมไม่ควรดูแค่คะแนน?

หลายคนมั่นใจในการสุ่มเพราะเครื่องมือให้คะแนน แก้พารามิเตอร์เสร็จวัดครั้งเดียว ได้ 90 คะแนน 100 คะแนน ก็สบายใจปล่อยขึ้นระบบ ตรงนี้มีช่องที่พลาดง่าย เครื่องมือให้คะแนนวัดรายตัว แพลตฟอร์มดูความสัมพันธ์

คะแนนรายตัวสูงบอกแค่ว่ารายการนั้นคุณภาพดีในตัวเอง IP สะอาด ค่าไม่หายาก ไม่มีรอยรั่วชัด ๆ แต่เวลาดูความเกี่ยวพัน แพลตฟอร์มมองว่าหลายสิบรายการอธิบายกันเองได้ไหม ระบบปฏิบัติการบอกอย่าง การ์ดจอบอกอีกอย่าง ภาษาบอกอย่าง IP บอกอีกอย่าง ผิดที่เดียวก็พอให้แพลตฟอร์มมองซ้ำ

แบบ “พารามิเตอร์ยืนยันกันเอง” นี้เป็นการตัดสินเชิงความสัมพันธ์ เครื่องมือให้คะแนนวัดไม่ถึง อันตรายของสภาพแวดล้อมคะแนนเต็มอยู่ตรงนี้เอง ทุกตัวสวย แต่ประกอบกันอาจกลายเป็นเครื่องที่ไม่มีอยู่จริง

คะแนนสูงพิสูจน์ความยืนยันกันเองไม่ได้ ให้ได้แค่ความสบายใจที่ผิด

ฉะนั้นเวลาตรวจสภาพแวดล้อม ลำดับสำคัญกว่าคะแนน แบ่งเป็นสามชั้น เริ่มจากดูว่าพารามิเตอร์หลายสิบตัววางข้างกันแล้วอธิบายกันเองได้ไหม จากนั้นเทียบรายตัวว่าค่าที่อ่านได้ตรงกับที่ตั้งไว้ไหม ปิดท้ายด้วยการเว้นหลายวันแล้ววัดซ้ำ ดูว่าสองครั้งอ่านตรงกันไหม ด้านเครื่องมือ สามขั้นก็พอ:

1. รันการทดสอบหาความขัดแย้งก่อน เครื่องมืออย่าง CreepJS ไล่หาจุดที่พารามิเตอร์เถียงกัน UA ว่าอย่าง การ์ดจอว่าอย่าง ฟอนต์ว่าอย่าง เอาวางข้างกันแล้วเทียบ
2. แล้วดูรอยรั่วรายตัว BrowserLeaks แจกแจงค่าที่ประกาศของแต่ละรายการตามหมวด ให้เทียบกับค่าที่ตั้งไว้
3. สุดท้ายดูความนิ่งย้อนหลัง วัดสภาพแวดล้อมเดิมซ้ำทุกสองสามวัน สองครั้งต้องตรงกัน ถ้าไม่ตรงแปลว่ามีนอยซ์ถูกอ่านออกมา

MostMate จัดการทางเลือกระหว่าง “จริง” กับ “สุ่ม” อย่างไร?

พูดหลักการจบแล้ว กลับมาที่คำถามแรก พารามิเตอร์ควรได้ค่าอย่างไร **MostMate เป็นเบราว์เซอร์ฟิงเกอร์พรินต์ที่ฝังความจริง ความสอดคล้อง และความนิ่งไว้ในค่าตั้งต้น** โหมดพารามิเตอร์มีสามระดับ จริง สุ่ม กำหนดเอง และค่าตั้งต้นอยู่ที่ “จริง” ความละเอียดจอ จำนวนคอร์ CPU และแรมของเครื่อง ดึงจากลักษณะจริงของเครื่องปัจจุบันตรง ๆ Canvas กับ WebGL เอาค่าจริงออกมา ไม่ประกอบเพิ่มและไม่เติมนอยซ์ ส่วนตัวอย่างการตั้งค่าบนเว็บไซต์อธิบายการทำงานนี้ว่า “ระบบสร้างสภาพแวดล้อมเบราว์เซอร์ที่สมเหตุสมผล จริง และสอดคล้องเชิงตรรกะโดยอัตโนมัติ” คำว่า “สอดคล้องเชิงตรรกะ” ตรงกับเรื่องพารามิเตอร์ยืนยันกันเองที่เพิ่งพูดไป

โซนเวลา ภาษา และรายการที่เกี่ยวกับภูมิภาค ตั้งต้นผูกกับ “ตั้งค่าตาม IP” ทางออกอยู่ที่ไหน สิ่งเหล่านี้ก็ตรงตามนั้น ไม่เกิดกรณีที่เส้นทางอยู่ภูมิภาคหนึ่งแต่เวลาอยู่อีกภูมิภาคหนึ่ง ทำไมสองหลักการคือความจริงกับความสอดคล้องจึงถูกกำหนดแบบนี้ บทความสี่หลักการออกแบบของ MostMate เขียนขยายไว้แล้ว

สร้างสภาพแวดล้อมเสร็จ เส้นแบ่งก็ถูกขีดไว้พร้อมกัน เว็บไซต์เรียกว่าสภาพแวดล้อมว่า Profile แต่ละ Profile เก็บพารามิเตอร์หนึ่งชุดแยกกัน Profile สองตัวที่สร้างบนเครื่องเดียวกันก็อ่านฟิงเกอร์พรินต์ออกมาเป็นคนละชุด ไม่ปนกัน กรอกฟอร์มจากบนลงล่างอย่างไร บทความสี่ขั้นจากตัวอย่างการตั้งค่าถึงสภาพแวดล้อมแรก เรียงไว้แล้ว ตั้งค่าเสร็จก็ไล่ดูตารางเทียบการตั้งค่าฟิงเกอร์พรินต์ด้วยมือกับค่าที่แนะนำ บนเว็บไซต์ เพื่อยืนยันระดับของแต่ละรายการ

เครื่องมือนี้ดูแลอะไรในการทำงานหลายบัญชี หน้าอธิบายผลิตภัณฑ์ อธิบายครบถ้วน

เปลี่ยนพารามิเตอร์ฟิงเกอร์พรินต์ได้เมื่อไร?

ความนิ่งจริงไม่ได้แปลว่าค่าคงที่ตลอดไป การเปลี่ยนควรมีเหตุผลจริงรองรับ

เบราว์เซอร์อัปเวอร์ชันใหญ่เป็นการเปลี่ยนปกติ ไม่ต้องทำอะไร ผู้ใช้ทุกคนค่อย ๆ ตามกันภายในหนึ่งถึงสองสัปดาห์ แพลตฟอร์มเคยเห็นจังหวะนี้ สภาพแวดล้อมที่เดินตามอุปกรณ์จริงจะไม่ผิด

เปลี่ยนเครื่องหรือเปลี่ยนเส้นทางต้องเปลี่ยนทั้งชุด พารามิเตอร์ชุดใหม่เป็นองค์รวมที่ลงตัวในตัวเอง รายการที่เกี่ยวกับภูมิภาคต้องตรงกับเส้นทางใหม่ ควรทำตอนสถานะบัญชีนิ่ง และเปลี่ยนให้จบในครั้งเดียว การเปลี่ยนจุดเดียวถึงอันตราย การสลับทั้งชุดไม่อันตราย

บัญชีเพิ่งผิดปกติหรือข้อมูลแกว่ง ให้หยุดมือก่อน การปรับพารามิเตอร์ทุกอย่างตอนนี้ขยายความเสี่ยงทั้งนั้น ถ้าไม่แน่ใจให้วัดซ้ำก่อน วัดหนึ่งครั้งก่อนกับหลังเปลี่ยน พอรายการที่ขัดแย้งเป็นศูนย์และการอ่านสองครั้งตรงกันจึงเดินต่อ

คำถามที่พบบ่อย

พารามิเตอร์สุ่มใช้ไม่ได้เลยหรือเปล่า?

ใช้ได้ แต่ตั้งเป็นกลยุทธ์ประจำของบัญชีไม่ได้ โหมดพารามิเตอร์ของ MostMate ยังมีระดับ “สุ่ม” เหมาะกับงานทดสอบ ดีบัก ซึ่งไม่ต้องมีตัวตนระยะยาว บัญชีที่เลี้ยงยาว ค่าตั้งต้น “จริง” นิ่งกว่า

แก้แค่พารามิเตอร์ User-Agent ตัวเดียวได้ไหม?

ไม่ได้ผล User-Agent เป็นแค่หนึ่งในหลายสิบรายการ พารามิเตอร์ที่เหลือคงเดิม ภาพอุปกรณ์จึงไม่เปลี่ยนเลย แถมมันสัมพันธ์กับการ์ดจอ ฟอนต์ และรายการที่วัดสด ๆ อื่น ๆ แก้จุดเดียวกลับทำให้พารามิเตอร์ยิ่งไม่ตรงกัน จะแตะก็แตะทั้งชุดให้สอดคล้อง แก้จุดเดียวเป็นทางเลือกที่แย่ที่สุด

ใช้ฟิงเกอร์พรินต์จริงแล้วจะไม่โดนระบบควบคุมความเสี่ยงของแพลตฟอร์มแน่ไหม?

ไม่ควรเข้าใจแบบนั้น ฟิงเกอร์พรินต์จริงแก้เรื่อง “อุปกรณ์อ่านออกมาเหมือนของจริงไหม” ส่วนระบบควบคุมความเสี่ยงยังดูพฤติกรรม คุณภาพ IP และจังหวะการทำ ซึ่งอยู่นอกฟิงเกอร์พรินต์ ฟิงเกอร์พรินต์จริงคือทำชั้นอุปกรณ์ให้แน่น ไม่ใช่ประกันให้บัญชี พอชั้นอุปกรณ์นิ่งแล้ว บัญชียังต้องพึ่งนิสัยการใช้งานช่วยพยุงด้วย

การตรวจความสอดคล้องของ MostMate แทนระบบควบคุมความเสี่ยงของแพลตฟอร์มได้ไหม?

ไม่ได้ คนละเรื่อง การตรวจความสอดคล้องของ MostMate ช่วยตอนสร้างสภาพแวดล้อมให้ประกอบพารามิเตอร์ที่ลงตัวและตรงกับ IP ไม่เกี่ยวกับกฎตรวจของแพลตฟอร์มไหน แพลตฟอร์มจะตัดสินอย่างไรเป็นเรื่องของแพลตฟอร์ม สิ่งที่ทำได้คือจัดสภาพแวดล้อมของตัวเองให้เหมือนอุปกรณ์จริง

บัญชีที่เคยเลี้ยงด้วยปลั๊กอินสุ่มยังกู้ได้ไหม?

ได้ แต่อย่ารีบ ก่อนอื่นปิดการสุ่ม ตรึงพารามิเตอร์ชุดจริงไว้ ปรับรายการที่เกี่ยวกับภูมิภาคให้ตรงกับเส้นทางใหม่ แล้วปล่อยไว้นิ่งสักพัก ปรับบ่อยอันตรายกว่าปล่อยไว้อย่างเดิม

บทสรุป

การสุ่มต้องการค่าใหม่ทุกครั้ง แพลตฟอร์มกลับจำสิ่งที่นิ่งเสมอ คำตอบของการจัดการพารามิเตอร์คือให้เส้นแบ่งเป็นงานของการแยกสภาพแวดล้อม และความต่อเนื่องเป็นงานของความนิ่ง สองเรื่องแยกกันอยู่คนละที่

ถ้ายังลังเลระหว่างสองทาง ลองดาวน์โหลด MostMate แล้วสร้างสองสภาพแวดล้อมตั้งค่าตามบทนี้ หนึ่งชุดใช้ค่าตั้งต้นจริง อีกชุดเปลี่ยนเป็นสุ่ม เว้นหลายวันแล้ววัดชุดละสองครั้งด้วยเครื่องมือตรวจ ชุดค่าที่อ่านทนการเทียบได้จะเห็นผลชัด