Что браузер реально может сообщить
Веб-приложение видит ограниченный набор характеристик: размеры screen/viewport, touch, platform hints, hardwareConcurrency, иногда deviceMemory, графические capabilities. Точные модель CPU/GPU и серийный номер обычно недоступны и не должны становиться целью anti-bot telemetry.
- screen/viewport размеры и orientation;
- devicePixelRatio как coarse display signal;
- hardwareConcurrency/deviceMemory buckets;
- touch capability;
- нормализованный WebGL/GPU class, если доступен.
Device fingerprint и browser fingerprint
На практике термины пересекаются. Browser fingerprint больше описывает среду браузера, device fingerprint — coarse аппаратно-экранный профиль. Для Risk Engine полезнее хранить отдельные группы signals и объяснять, какой источник дал mismatch.
Что означает смена device profile
- смена устройства — легитимно;
- remote desktop/VDI — легитимно;
- browser privacy randomization — легитимно;
- мобильная ориентация — легитимно;
- быстрая смена многих независимых параметров при стабильной session identity — может быть risk evidence.
Population reuse
Одинаковый profile у множества посетителей сам по себе не доказывает botnet: корпоративный парк и типовые смартфоны похожи. Сильнее выглядит reuse + одинаковые маршруты + синхронные интервалы + network rotation.
Безопасное применение
- Собирать минимальный allowlist полей.
- Нормализовать значения в buckets.
- Хэшировать/pseudonymize в пределах установки.
- Задать TTL и retention.
- Не делать hard decision по одному profile.
- Показывать confidence/reason в Decision Trace.
Device evidence в AntiPF
AntiPF 10.050 проектирует Browser Signals Lite как bounded evidence collector. Device-related признаки идут в Risk вместе с другими источниками и не превращаются в spyware-like profiler.