Odcisk TCP

Zanim urządzenie i serwer zaczną wymieniać dane, nawiązują połączenie TCP. Pierwszy pakiet od klienta zawiera kilka wartości technicznych: początkowy TTL, rozmiar okna, maksymalny rozmiar segmentu oraz zestaw opcji TCP w określonej kolejności. Każdy system operacyjny wypełnia te pola trochę inaczej.

Na przykład Windows zwykle zaczyna od TTL 128, a Linux, Android, macOS i iOS od 64. Różni się też zestaw opcji i ich kolejność. Z tych szczegółów powstaje odcisk TCP, na podstawie którego można zgadywać, jaki system jest po drugiej stronie połączenia.

Taką analizę nazywa się pasywną: serwer nie musi niczego wysyłać, wystarczy, że spojrzy na pakiety, które przyszły. Najbardziej znanym narzędziem tego typu jest p0f, a podobne sprawdzenia są wbudowane w różne systemy ochrony stron. Wynik jest zawsze przybliżony, bo ustawienia sieci i urządzenia po drodze mogą zmieniać wartości.

Z proxy obraz jest inny. Twoje urządzenie nawiązuje połączenie TCP tylko z proxy, a osobne połączenie ze stroną otwiera węzeł wyjściowy. Dlatego strona widzi odcisk TCP nie Twojego komputera, lecz urządzenia, z którego wychodzi ruch: serwera w centrum danych albo domowego routera lub telefonu w przypadku proxy rezydencjalnych i mobilnych.

Może to powodować niezgodność. Przeglądarka w nagłówku User-Agent podaje na przykład „Windows”, a odcisk TCP połączenia przypomina Linuksa, bo węzeł wyjściowy działa na Linuksie. Strona może zauważyć, że te dane do siebie nie pasują, i uwzględnić to w swojej ocenie.

Niektóre wartości zmieniają się także bez proxy. Każdy router po drodze zmniejsza TTL o jeden, więc serwer widzi nieco mniejszą liczbę i zaokrągla ją do najbliższej typowej. Rozmiar segmentu może się zmniejszyć, jeśli ruch idzie przez tunel lub sieć komórkową. Z tego powodu nawet zwykłe domowe połączenie nie zawsze daje „czysty” odcisk. Dlatego pojedyncza niezgodność rzadko sama o czymś przesądza.

Odcisk TCP uzupełnia odcisk TLS i odcisk przeglądarki: pierwszy opisuje warstwę sieciową, drugi program, a trzeci środowisko przeglądarki. Żaden z nich osobno nie daje dokładnej odpowiedzi, więc strony patrzą na całość sygnałów. Znajomość tego mechanizmu pomaga zrozumieć, dlaczego ten sam IP może być różnie odbierany z różnych urządzeń.