Behavioral Biometrics: как антифрод читает ритм кликов, скролла и пауз

Behavioral Biometrics: как антифрод читает ритм кликов, скролла и пауз

Поведенческий анализ не ищет один «уникальный» признак. Он собирает временной профиль: скорость движения мыши, микропаузу перед кликом, траекторию скролла, ритм печати, порядок фокусов окон. В терминах модели это не fingerprint, а распределение вероятностей по последовательности событий.

Разберем энтропию данного параметра: стабильный пользователь редко двигается по прямой и редко повторяет одинаковый интервал между нажатиями. У бота часто видны синтетические паттерны — равномерный jitter, слишком ровный dwell time, одинаковая задержка между keydown и keyup. Детект на уровне сетевого стека тут вторичен: поведение может выдать сессию даже при идеальном TLS Client Hello.

Что обычно проверяют:
— скорость набора и ошибки backspace;
— ускорение и торможение курсора, а не только координаты;
— инерцию скролла и частоту смены направления;
— последовательность focus/blur, видимую через DOM events;
— согласованность ввода с другими каналами: Canvas, WebGL, AudioContext.

Спуфинг через инъекцию JS-кода возможен лишь частично: можно подменить значения событий, но сложнее воспроизвести физиологическую динамику. Поэтому антифрод строит не отдельный признак, а кросс-корреляцию: если мышь ведет себя как человек, а клавиатурный ритм как скрипт, профиль разваливается.

Вывод простой: подменять нужно не один event handler, а всю кинематику сессии — от mousemove до пауз между действиями. Иначе Behavioral Biometrics быстро превращается в триггер, который видно даже без глубокого анализа браузера.