TCP/IP-отпечаток ОС читается без JS: где ломается анонимность

Пассивное снятие отпечатков работает не через браузерный API, а через особенности сетевого стека. Анализ структуры TCP/IP пакетов позволяет классифицировать ОС по набору параметров: initial TTL, window size, MSS, порядок опций TCP, значения DF, особенности retransmission и реакция на нестандартные флаги.

Разберем энтропию данного параметра: у Windows, Linux и macOS различаются не только дефолтные значения, но и то, как стек формирует SYN, SYN/ACK и последующие ACK. Даже при проксировании часть сигнала сохраняется на уровне TCP-сессии, если транспорт не терминируется и не пересобирается полностью. Именно поэтому простая подмена User-Agent не влияет на детект на уровне сетевого стека.

Типовые ошибки в эмуляции:
— меняют только HTTP-слой, игнорируя TCP options;
— не синхронизируют TTL и hop count;
— используют прокси, который сохраняет исходные паттерны ACK;
— не проверяют поведение при loss/reorder packets.
Отдельно смотрят на coherence: если заявлен один стек, а MSS, window scaling и порядок опций принадлежат другому профилю, корреляция рушится мгновенно.

Практика простая: снимайте pcap, сравнивайте SYN-пакеты с эталоном и проверяйте, совпадает ли не только заголовок, но и динамика повторных передач. Под капотом Chromium API это не решается — нужен контроль всей цепочки: ОС, прокси, NAT и точки терминации соединения.