Vision. Тестируем браузер, помогающий скрыться от наблюдения

Ан­тидетект‑бра­узе­ры – это класс узкоспе­цифич­ных решений для тех, кому надо защитить­ся от фин­гер­прин­тинга мак­сималь­но надеж­но. И если от излишне при­лип­чивых cookie-фай­лов еще мож­но защитить­ся в стан­дар­тном Chrome или Firefox, то отпе­чат­ки обо­рудо­вания (нап­ример, виде­окар­ты) и опе­раци­онной сис­темы оста­нут­ся ста­биль­ными, что бы ты ни делал.

Не­кото­рые сер­висы весь­ма тре­бова­тель­ны к такому и могут не пус­кать поль­зовате­ля при малей­шем подоз­рении. Что­бы уме­рить агрессию таких филь­тров и были при­дума­ны бра­узе­ры с анти­детек­том. Работа­ют они с виду так же, как и обыч­ные, но при этом уме­ло под­совыва­ют фаль­шив­ки, ког­да сай­ты пыта­ются фин­гер­прин­тить обо­рудо­вание.

Спектр при­мене­ний у этой тех­нологии куда шире, чем кажет­ся: это и тес­тирова­ние сво­их при­ложе­ний на сов­мести­мость, и син­хро­низа­ция сес­сий при коман­дной работе (если, нап­ример, при­ложе­ние под­держи­вает толь­ко одну сес­сию одновре­мен­но, а нуж­но, что­бы работа­ло боль­ше одно­го челове­ка), и даже прос­то при­ват­ная работа в сети со сме­ной «лица» по одно­му кли­ку.

Бра­узер Vision приз­ван зак­рывать все подоб­ные сце­нарии. Он соз­дает уни­каль­ные про­фили, под­держи­вает ста­биль­ные отпе­чат­ки при миг­рации меж­ду устрой­ства­ми, под­держи­вает прок­си, ста­биль­но эму­лиру­ет типовую поль­зователь­скую активность (дей­ствия мыш­кой, запол­нение форм, работу с виде­ока­мерой) и так далее. И при всем этом умуд­ряет­ся поч­ти не наг­ружать сис­тему сверх обыч­ного пот­ребле­ния Chromium.

Что­бы про­верить заяв­ления раз­работ­чиков, я под­нял тес­товый стенд в VirtualBox с 16 Гбайт памяти и 8 ядра­ми Intel Core i7 13 поколе­ния, чтоб точ­но ничего не тор­мозило. Внутрь уста­новил пос­леднюю дос­тупную вер­сию Windows 10.

Для пол­ной наб­люда­емос­ти про­исхо­дяще­го уста­новил еще Proxifier и завер­нул через него весь тра­фик в Burp Suite, раз­верну­тый на хос­те, а для перех­вата HTTPS пос­тавил еще кор­невой сер­тификат из Burp.

Подходим к снаряду

Лю­дей встре­чают по одеж­ке, а софт – по лен­дингу.

По сло­вам раз­работ­чиков, целевая ауди­тория — это «арбитраж­ники, а так­же поль­зовате­ли, работа­ющие с мар­ткетплей­сами, крип­товалю­той, бук­мекер­ски­ми кон­торами, авто­мати­заци­ей, SEO и про­чим. Но полез­ное есть и для рядово­го юзе­ра: мож­но удоб­но раз­делить рабочий и лич­ные про­фили, сколь­ко бы их ни было, и не рис­ковать утеч­ками меж­ду ними. А заод­но обхо­дить слиш­ком въед­ливые антифро­ды».

Пер­вым делом читаю полити­ку кон­фиден­циаль­нос­ти.

Она сооб­щает, что дан­ные про­филя шиф­руют­ся и хра­нят­ся на сто­рон­нем сер­вере, при этом сами раз­работ­чики исполь­зуют лишь ано­ними­зиро­ван­ные дан­ные.

Мы уточ­нили у раз­работ­чиков прин­цип шиф­рования и хра­нения про­филей и получи­ли сле­дующий ответ:

На самом ПК поль­зовате­ля дан­ные про­филей хра­нят­ся в незашиф­рован­ном виде (для обес­печения быс­тро­дей­ствия при­ложе­ния).

Каж­дый поль­зователь име­ет уни­каль­ный ID, каж­дый про­филь так­же име­ет уни­каль­ный ID, они вза­имос­вязаны. При син­хро­низа­ции (про­исхо­дит при зак­рытии про­филя) и отправ­ке дан­ных на сер­вер дан­ные шиф­руют­ся 256-бит­ным AES клю­чом и для каж­дого про­филя генери­рует­ся ссыл­ка для заг­рузки фай­ла. Она валид­на опре­делен­ное вре­мя и тех­ничес­ки поз­воля­ет ска­чать архив толь­ко поль­зовате­лю — бла­года­ря свя­зи ID про­филя и ID поль­зовате­ля.

То есть на сер­вере дан­ные про­филей лежат в зашиф­рован­ном виде. У поль­зовате­ля — «ключ от клю­ча» для отправ­ки и получе­ния дан­ных.

Сам ключ AES шиф­рования явля­ется частью архи­тек­туры No Backdoors: это CSPRNG на базе AES. Дан­ные при отправ­ке шиф­руют­ся с добав­лени­ем слу­чай­ной соли, которая генери­рует­ся стро­го на сто­роне сер­вера через сис­темные крип­тобиб­лиоте­ки.

Та­ким обра­зом даже клю­чевые лица коман­ды раз­работ­ки не могут получить дос­туп к дан­ным: CSPRNG дает истинно неп­ред­ска­зуемый резуль­тат шиф­рования, и рас­шифро­вать «ключ от клю­ча» поль­зовате­ля сегод­ня прос­то тех­ничес­ки невоз­можно, что исклю­чает какое‑либо вли­яние челове­чес­кого фак­тора.

Ины­ми сло­вами, шиф­рование есть (хорошо!), одна­ко кон­тро­лиру­ется на сто­роне сер­вера, то есть это не чис­тый E2EE.N

Ком­пания‑раз­работ­чик зарегис­три­рова­на в ОАЭ, если тебя вол­нуют воп­росы юрис­дикции.

Что оста­вило исклю­читель­но при­ятные впе­чат­ления, так это докумен­тация. Она очень под­робная, обиль­но прип­равле­на скрин­шотами и под­держи­вает­ся в акту­аль­ном сос­тоянии. Я к ней не раз обра­щал­ся, что­бы точ­но узнать, как работа­ет та или дру­гая фун­кция. Есть вари­анты на рус­ском и англий­ском язы­ках.

Установка

Ус­тановить прог­рамму на Windows – про­ще пареной репы. Прос­то все вре­мя жми «Далее» и не про­гада­ешь. Пос­ле уста­нов­ки откры­вает­ся окно вхо­да, где нуж­но ввес­ти логин и пароль, ранее соз­данные на сай­те, но тут меня ждал пер­вый сюр­приз: телемет­рия в Burp идет, а бра­узер на попыт­ку вхо­да выда­ет ошиб­ку сети.

Вско­ре мне уда­лось вяс­нить диаг­ноз: исполь­зует­ся SSL pinning, то есть бра­узер активно про­веря­ет под­линность сер­тифика­та бэкен­да и на липу от Burp Suite не ведет­ся. Приш­лось оста­новить перех­ват тра­фика.

Пос­ле логина перед гла­зами пред­ста­ет окно, в котором отны­не и будет про­исхо­дить все инте­рес­ное. Еще при пер­вом же запус­ке ска­чают­ся бинар­ники модифи­циро­ван­ного Chromium, который и будет делать всю работу.

Пе­рей­дем пока в нас­трой­ки. Там мож­но уви­деть некото­рую ста­тис­тику и под­кру­тить нас­трой­ки ано­ними­зации, которые будут при­менять­ся ко всем про­филям – нап­ример, ско­рость симуля­ции набора тек­ста при запол­нении фор­мы или прок­сирова­ние QUIC (HTTP/3).

От­дель­но под­све­чу под­дер­жку вхо­да по PassKey с воз­можностью син­хро­низа­ции меж­ду устрой­ства­ми. Это очень мощ­ный инс­тру­мент для тес­тирова­ния сов­ремен­ных при­ложе­ний, которые могут вов­се не иметь дру­гих воз­можнос­тей вхо­да, а при­вяз­ка физичес­кого клю­ча нап­рочь уби­вает всю суть син­хро­низа­ции, которая дол­жна давать оди­нако­вые воз­можнос­ти всем чле­нам коман­ды, а не толь­ко вла­дель­цу клю­ча.

Тестирование

Пе­рей­дем к тес­тирова­нию основных воз­можнос­тей, то есть будем исполь­зовать бра­узер как бра­узер. Для это­го нуж­но соз­дать про­филь, то есть объ­яснить бра­узе­ру, кем он дол­жен быть в этот раз. Для это­го наж­мем кноп­ку добав­ления про­филя.

Тут все прос­то: мож­но задать имя про­филя, навесить ста­тус или теги (они поч­ти ничем не отли­чают­ся по сути, но раз­ные по наз­начению), выб­рать жела­емую ОС и задать прок­си. В качес­тве движ­ка бра­узе­ра мож­но выб­рать Chrome или Safari (вто­рая опция по­яви­лась вмес­те с под­дер­жкой macOS в недав­ней вер­сии).

Удоб­но, что прок­си мож­но задавать в том чис­ле по SSH – такой фун­кции я еще не встре­чал. Прок­си мож­но выб­рать из уже добав­ленных или нас­тро­ить с нуля, при этом све­женас­тро­енные прок­си авто­мати­чес­ки сох­ранять­ся в общий спи­сок.

До­пол­нитель­но мож­но задать ссыл­ку для обновле­ния IP. Мно­гие про­вай­деры прок­си пре­дос­тавля­ют еди­ную точ­ку вхо­да тра­фика и динами­чес­ки перек­люча­ют точ­ку выхода, а для при­нуди­тель­ного перек­лючения нуж­но дер­нуть опре­делен­ный эндпо­инт – для такого сце­нария и пре­дус­мотре­но это поле.

В пра­вой час­ти виден пол­ный отпе­чаток про­филя с куда боль­шим количес­твом парамет­ров, чем я сей­час показал. Самые инте­рес­ные нас­трой­ки скры­ты как допол­нитель­ные, хотя их ты и будешь кру­тить в пер­вую оче­редь, если захочешь спря­тать­ся.

Вот тут уже мож­но кас­томизи­ровать про­филь по‑нас­тояще­му. Выб­рать и виде­окар­ту, и веб‑камеру, и количес­тво меди­аус­трой­ств, и раз­решение экра­на. В общем, собирай компь­ютер меч­ты – жаль толь­ко оста­нет­ся он исклю­читель­но вир­туаль­ным.

От­дель­но отме­чу воз­можность ука­зать, какой IP будет репор­тить WebRTC – такой фиш­ки я не видел боль­ше вооб­ще ни у кого. Про WebRTC вооб­ще час­то забыва­ют, но не раз­работ­чики Vision.

Настройки WebRTC

В нас­трой­ках есть вари­анты «Авто», «Исполь­зовать реаль­ный» и «Скры­вать». При вари­анте «Авто» при­меня­ется уста­нов­ленный прок­си. Если он не нас­тро­ен, будет исполь­зовать­ся реаль­ный IP.

От­печат­ки по всем основным спо­собам фин­гер­прин­тинга мож­но заменить на шум. Это более скрыт­но, чем пол­ный зап­рет на такой фин­гер­прин­тинг: поз­воля­ет заверить сайт в том, что поль­зователь нас­тоящий, прос­то не тот, которо­го он уже зна­ет.

И еще одна отличная фича: мож­но наг­лухо заб­локиро­вать под­клю­чения на опре­делен­ные пор­ты. По умол­чанию там уже перечис­лены пор­ты, которые обыч­но исполь­зуют­ся для уда­лен­ного дос­тупа и прок­си. Сде­лано это для того, что­бы сайт не мог по откры­тому локаль­но 3389 пор­ту понять, что поль­зователь сидит уда­лен­но через RDP или по откры­тому 1080 обна­ружить Tor.

За­подоз­рив нелад­ное, осо­бо ранимые сай­ты могут зап­росто отка­зать­ся работать, так что эта нас­трой­ка поможет ути­хоми­рить их при работе на облачных сер­верах или на вир­туаль­ных рабочих стан­циях (ког­да ком­пания выделя­ет сот­рудни­ку ноут­бук и пол­ноцен­ный дес­ктоп в обла­ке с дос­тупом по RDP).

Кро­ме экс­клю­зив­ных для Vision парамет­ров отпе­чат­ков, залезть мож­но и в самое сер­дце бра­узе­ра – в дви­жок Chromium. При желании ты можешь исполь­зовать спе­циаль­ные аргу­мен­ты запус­ка для изме­нения некото­рых аспектов поведе­ния бра­узе­ра.

Нап­ример, можешь отклю­чить зап­росы на показ уве­дом­лений с сай­тов (--disable-notifications), если не хочешь получать их сра­зу из десят­ка про­филей. Или скрыть от сай­тов события перехо­да окна в фон, что­бы те не оста­нав­ливали активность. Ког­да откры­ты одновре­мен­но четыре про­филя, мож­но зас­тавить всех одновре­мен­но счи­тать себя активны­ми! В общем, воз­можнос­ти тут огра­ниче­ны толь­ко тво­ей фан­тази­ей.

И пос­ледняя инте­рес­ная фича – пре­дус­танов­ка рас­ширений. Мож­но авто­мати­чес­ки добавить рас­ширения во все про­фили. Нап­ример, если целево­му при­ложе­нию нужен акка­унт из Metamask – мож­но сра­зу добавить в про­филь этот самый Metamask, что­бы не идти и не ста­вить руками при соз­дании каж­дого про­филя.

Ковыряем профили

Мне ста­ло инте­рес­но, как устро­ено хра­нение про­филей и я лег­ко нашел их по пути %APPDATA%\Vision\profiles, где лежат zip-архи­вы с фай­лами про­филей. Фор­мат име­ни – <guid>.zip, рядом лежит соот­ветс­тву­ющий <guid>.sig, что намека­ет на то, что фай­лы могут быть под­писаны.

Ока­залось, что в фай­ле .sig хра­нит­ся все­го лишь MD5 от содер­жимого архи­ва, и ско­рее как справ­ка, а не как защита: про­филь заг­рузит­ся даже с некор­рек­тной MD5-сум­мой.

Внут­ри архи­ва — обыч­ная пап­ка с дан­ными Chromium, которая ука­зыва­ется как путь к дан­ным при запус­ке инстан­са. Так что будь осто­рожен: ата­ки с извле­чени­ем дан­ных Chrome тут тоже пол­ностью при­мени­мы, хотя архи­виро­вание и может сбить с тол­ку мал­варь, нацелен­ную на Chrome.

Пе­рехо­дим к тес­там!

Приватность

За­пус­тим наш новый про­филь.

Вид­но, что домаш­няя стра­ница замет­но изме­нилась: теперь она показы­вает, какую информа­цию о нас уви­дят сай­ты. Сде­лано это что­бы не запутать­ся при запус­ке сра­зу нес­коль­ких про­филей.

Сам бра­узер во мно­гом напоми­нает Chrome, и это даже хорошо: для поль­зовате­ля все при­выч­но, а для сай­тов — мень­ше шанс что‑то заподоз­рить.

Са­ми тес­ты мы изоб­ретать не будем – бла­го умные люди из EFF (Electronic Frontier Foundation – Фонд элек­трон­ных рубежей) уже сде­лали все за нас и пре­дос­тавили сер­вис Cover Your Tracks, который поз­воля­ет уви­деть то, что видят интернет‑тре­керы.

Как и положе­но, тест от EFF показал, что бра­узер уни­кален.

Вот толь­ко в раз­ных про­филях тест дает совер­шенно раз­ные отпе­чат­ки, что под­твержда­ет, что под­мена работа­ет.

Даль­ше я решил прой­ти тест от Privacy.net и слу­чай­но обна­ружил, что либо в бра­узе­ре вооб­ще отклю­чено авто­допол­нение, либо оно работа­ет не сов­сем ожи­даемым обра­зом. Во вся­ком слу­чае утеч­ки через него не будет. Лайк!

За­бав­но, что тест не нашел внут­ренних несо­ответс­твий в дан­ных отпе­чат­ка, так что не заметил ни под­мены раз­решения, ни бра­узе­ра, ни язы­ков.

Еще для обще­го све­дения мож­но пос­мотреть раз­дел с раз­бивкой по популяр­ности приз­наков.

На мой взгляд, такое опи­сание час­тоты встре­чаемос­ти парамет­ров куда более наг­лядный, чем у EFF.

В целом и так понят­но, что под­мена выпол­нена очень качес­твен­но, но давай еще раз­вле­чения ради погоня­ем тест ано­ним­ности 2IP. Он про­веря­ет не фин­гер­прин­тинг, а качес­тво работы с прок­си, но раз уж раз­работ­чики заяв­ляют, что под­дер­жка прок­си у них луч­шая на рын­ке – надо про­верить.

Ло­каль­ный HTTP-прок­си Burp Suite был обна­ружен тес­том, но это ожи­даемо: Burp — не средс­тво ано­ними­зации. К качес­тву анти­детект‑фун­кций Vision этот резуль­тат прак­тичес­ки не отно­сит­ся.

Бес­плат­ный канад­ский SOCKS5 прок­си про­вер­ку тун­неля про­шел, но спа­лил­ся на том, что находит­ся в сети хос­тера, а не домаш­него интернет‑про­вай­дера. Но это уже от бра­узе­ра не зависит и свою задачу он тут пол­ностью отра­ботал. Утек­шие DNS на самом деле не утек­шие, а как раз канад­ские, то есть DNS-зап­росы тоже пош­ли через прок­си, и заяв­ленная фун­кци­ональ­ность UDP-over-SOCKS5 работа­ет отлично.

Вер­дикт – со сто­роны бра­узе­ра ано­ними­зация отличная, и явно справ­ляет­ся с реаль­ными сце­нари­ями исполь­зования. Мес­тами про­работ­ка слиш­ком деталь­ная: бра­узер, нап­ример, сооб­щает модель под­менной веб‑камеры.

Дополнительные фичи

Vision под­держи­вает еще две инте­рес­ные воз­можнос­ти, которых мне час­то не хва­тает в обыч­ном бра­узе­ре. Пер­вая – это под­мена виде­опо­тока с камеры, а вто­рая – авто­запол­нение форм из заметок к про­филю.

Сна­чала раз­берем­ся с видео. Суть под­мены в том, что мож­но дать бра­узе­ру файл, который и ста­нет источни­ком виде­опо­тока для сай­та, который взду­мает исполь­зовать камеру.

До­пус­тим, хочет какой‑то сайт про­верить воз­раст (для той же Великоб­ритании это час­тая проб­лема), а ты не хочешь сли­вать свое лицо. Не беда! Берешь какую‑нибудь говоря­щую голову с YouTube, под­кидыва­ешь ролик в Vision и при про­хож­дении верифи­кации сайт будет смот­реть на бло­гера, а не тебя.

Для под­мены наж­ми икон­ку камеры в пра­вом вер­хнем углу окна и выбери файл с видео для показа. Внут­ри икон­ки камеры появит­ся жир­ная точ­ка, что­бы показать, что видео заг­ружено.

Те­перь мож­но заходить на любой сайт, который исполь­зует камеру, и про­ходить любые про­вер­ки.

От­личная наход­ка раз­работ­чиков — замет­ки. В них мож­но записы­вать не толь­ко, собс­твен­но, замет­ки, но и дан­ные для авто­запол­нения. Само авто­запол­нение работа­ет не как в обыч­ном Chrome, где текст одно­момен­тно появ­ляет­ся во всех полях фор­мы, а реали­зует­ся под­систе­мой Vision Autofill, которая вво­дит дан­ные посим­воль­но, соб­людая некото­рые паузы меж­ду нажати­ями кла­виш. Даже самый при­дир­чивый антифрод не заметит такое авто­запол­нение.

В замет­ки мож­но добав­лять коды для 2FA, но записы­вать нуж­но не сам вре­мен­ный код, а сек­рет, на осно­вании которо­го он генери­рует­ся. Записы­вать его тоже надо в спе­циаль­ном фор­мате:

Наз­вание в скоб­ках – опци­ональ­ное. Если его ука­зать, то при выборе авто­запол­нения код будет под­писан, что­бы знать, от какого он сер­виса.

Для авто­запол­нения надо щел­кнуть пра­вой кноп­кой мыши по полю вво­да и выб­рать, что имен­но туда нуж­но впи­сать. Текст акку­рат­но, по одно­му сим­волу, наберет­ся в поле. Кста­ти, точ­но таким же обра­зом мож­но встав­лять про­изволь­ный текст в любое поле: дос­таточ­но прос­то выб­рать Human Type вмес­то обыч­ной встав­ки.

Тарифы

Vision дос­тупен аж в шес­ти вари­антах на любой раз­мер коман­ды и кар­ман. Базовый тариф на одно­го челове­ка обой­дет­ся в $29 в месяц, а при под­писке сра­зу на год – на поч­ти треть дешев­ле, все­го $20.

В осталь­ном тарифы раз­лича­ются, по сути, толь­ко количес­твом под­держи­ваемых на одном акка­унте про­филей – пла­тишь имен­но за столь­ко, сколь­ко надо. При этом раз­работ­чики разум­но не ста­ли делать часть фун­кций дос­тупной толь­ко в дорогих вари­антах под­писок, то есть все уви­ден­ное в этой статье ты смо­жешь опро­бовать даже на стар­товом акка­унте.

Ес­ли же хочешь испы­тать все сам, бери trial на четыре дня.

Итоги

Ка­жет­ся, все обе­щания с лен­динга ока­зались прав­дой: про­дукт тех­ничес­ки наворо­чен­ный и при­годит­ся в пов­седнев­ной деятель­нос­ти даже рядово­му тех­ничес­кому спе­циалис­ту, а в руках арбитраж­ника так и вов­се прев­раща­ется в гро­зу для антифро­да.

От­дель­но замечу, что толь­ко за вре­мя тес­тирова­ния для этой статьи при­лете­ло два обновле­ния – раз­работ­чики дей­стви­тель­но активно раз­вива­ют про­дукт.