Przeglądarka headless

Przeglądarka headless używa tego samego silnika renderującego co zwykła przeglądarka, na przykład Chromium lub WebKit, ale pomija okno na ekranie. Skrypt steruje nią programowo, aby ładować strony, wykonywać JavaScript, klikać elementy i odczytywać wynikowy DOM. Ponieważ uruchamia pełny silnik, radzi sobie z aplikacjami jednostronicowymi i treścią dynamiczną, z którą prosty klient HTTP sobie nie poradzi.

To właśnie ta moc sprawia, że przeglądarki headless są atrakcyjne dla atakujących. Potrafią wykonywać JavaScript, na którym opierają się skrypty fingerprintingu i wyzwań, więc pokonują zabezpieczenia zakładające, że skryptowany klient nie może uruchomić kodu na stronie. W skali jedna maszyna może sterować wieloma instancjami headless równolegle, z których każda udaje niezależnego odwiedzającego.

Środowiska headless pozostawiają jednak wykrywalne ślady. Historycznie ujawniały oczywiste znaczniki, takie jak token HeadlessChrome w agencie użytkownika czy flaga navigator.webdriver. Nawet gdy te zostaną załatane, pozostają subtelniejsze niespójności: brakujące lub zaślepione API przeglądarki, brakujące wtyczki, nietypowe renderowanie grafiki i czcionek, brakujące czujniki sprzętowe oraz zachowania czasowe różniące się od sesji interaktywnej.

Operatorzy złośliwego ruchu headless próbują wymazać te ślady, łatając właściwości, fałszując wartości i dodając fałszywe ludzkie dane wejściowe. Dlatego detekcja skupia się na spójności wewnętrznej, sprawdzając, czy liczne niezależne sygnały udostępniane przez przeglądarkę faktycznie zgadzają się ze sobą, ponieważ w pełni samospójne fałszerstwo jest trudne do utrzymania na każdej powierzchni.