Большинство провайдеров прокси соревнуются в «чистоте» IP-адресов: количестве баз данных, в которых адрес не засвечен, времени ротации, репутации ASN. Это важные параметры — но они решают только половину задачи. Существует слой защиты, который работает глубже любой базы репутации: passive OS fingerprint мобильных прокси.
Антибот-системы крупных площадок — маркетплейсов, социальных сетей, рекламных платформ — научились определять тип устройства на уровне TCP-соединения, ещё до того как клиент отправил первый байт HTTP-запроса. Инструмент называется пассивное снятие отпечатка ОС (passive OS fingerprinting). Он не требует от сервера никаких активных зондирований — сервер просто смотрит на параметры входящего SYN-пакета и с высокой точностью восстанавливает: Linux-сервер это или Android-смартфон, Windows-ПК или iPhone.
Серверный прокси с чистейшим IP, работающий на Linux, выдаёт TCP-параметры Linux. Мобильный прокси на физическом Android-устройстве выдаёт TCP-параметры Android. Разница ловится за миллисекунды. Именно поэтому мы реализовали подмену TCP fingerprint на уровне серверной инфраструктуры — и в этой статье расскажем, как это работает и что даёт на практике.
Что такое passive OS fingerprint и почему это важнее IP-репутации
Пассивный fingerprint: определение без единого вопроса
Пассивное снятие OS fingerprint — это метод идентификации операционной системы и типа устройства исключительно на основе наблюдения за сетевым трафиком, без какого-либо активного взаимодействия с клиентом. Сервер не отправляет дополнительных зондирующих пакетов и не задаёт вопросов — он просто анализирует то, что клиент посылает при установке обычного TCP-соединения.
Каждая операционная система реализует сетевой стек по-своему. Разработчики Linux выбрали одни значения начальных параметров TCP, разработчики Android — другие, Microsoft Windows — третьи. Эти параметры передаются в каждом TCP SYN-пакете, и их комбинация образует уникальный «отпечаток» ОС.
Ключевое свойство пассивного fingerprint: его невозможно подделать на уровне приложения. Браузер, парсер или HTTP-клиент не управляют параметрами TCP SYN — их устанавливает ядро ОС. Можно сколько угодно менять User-Agent, заголовки Accept-Language, порядок заголовков HTTP/2 — TCP fingerprint останется нетронутым. Это делает его одним из самых надёжных сигналов для антибот-систем.
Почему IP-репутация недостаточна
Традиционная защита прокси строилась на репутации IP-адреса. Логика проста: если IP не засвечен в спам-базах, не используется в массовых атаках и принадлежит «хорошему» ASN (например, мобильному оператору) — его пропустят.
Проблема в том, что антибот-системы давно вышли за рамки IP-репутации. Крупные площадки, такие как Wildberries, Amazon, Facebook, применяют многоуровневую проверку. IP-репутация — лишь первый фильтр. За ним следуют: анализ заголовков HTTP и TLS, поведенческие паттерны запросов, и наконец — TCP/IP fingerprint. Даже «идеальный» IP мобильного оператора, исходящий с Linux-сервера, будет помечен как подозрительный, потому что мобильный оператор физически не использует Linux-серверы для пользовательского трафика.
Passive OS fingerprint мобильных прокси — это та самая деталь, которая отличает «прокси из датацентра с мобильным IP» от «прокси, который выглядит как настоящий телефон». И именно её научились проверять лучшие антибот-решения.
Как давно это применяется
Инструмент p0f, ставший стандартом de facto для пассивного OS fingerprinting, выпущен ещё в 2000 году. Его базы данных содержат отпечатки сотен ОС и версий. Современные CDN-провайдеры (Cloudflare, Akamai), крупные e-commerce платформы и антифрод-системы давно интегрировали подобные проверки в свои защитные слои. Это не экзотика — это стандартная практика для серьёзной антибот-защиты 2024–2026 года.
Как работает p0f и пассивное определение ОС
Анатомия TCP-рукопожатия
Любое TCP-соединение начинается с трёхэтапного рукопожатия: клиент отправляет SYN, сервер отвечает SYN-ACK, клиент подтверждает ACK. Вся информация для passive OS fingerprint содержится в первом пакете — SYN. Клиент ещё ничего не знает о сервере, он просто объявляет свои возможности и предпочтения через набор TCP-параметров.
Эти параметры устанавливает не пользователь и не приложение — их устанавливает ядро операционной системы в момент открытия сокета. Разные ядра и разные версии одной ОС используют разные значения. Именно это и создаёт уникальный fingerprint.
Что анализирует p0f в SYN-пакете
Инструмент p0f анализирует следующие поля каждого входящего SYN-пакета:
- TTL (Time to Live) — начальное время жизни пакета. Linux стартует с 64, Windows — с 128, некоторые версии BSD — с 255. Реальное TTL в пакете будет меньше начального (вычитается на каждом роутере), но p0f умеет восстанавливать исходное значение по стандартным шагам.
- Window Size — размер приёмного окна TCP. Это ключевой параметр: разные ОС выбирают разные начальные значения окна. Linux 3.x–5.x традиционно использует 29200, Android — 65535.
- Window Scale (wscale) — масштабирующий множитель для окна (TCP опция). Linux-сервер обычно устанавливает wscale=6 или 7, Android — 8, 9 или 10.
- MSS (Maximum Segment Size) — максимальный размер TCP-сегмента. Зависит от MTU сетевого интерфейса: для Ethernet — 1460, для некоторых туннелей — меньше.
- TOS/DSCP (Type of Service) — поле приоритизации трафика. Android устанавливает TOS=0x28 (Expedited Forwarding), серверный Linux — обычно 0x00.
- TCP-опции и их порядок — набор и последовательность опций в SYN-пакете (MSS, SACK, Timestamps, NOP, WScale) также характерны для конкретных ОС.
- DF bit (Don't Fragment) — флаг запрета фрагментации. Большинство современных ОС устанавливают его, но детали различаются.
p0f собирает всё это в «подпись» и сравнивает с базой данных известных ОС. При совпадении выдаёт результат: Android/6.x-9.x или Linux/3.x или Windows/10.
Где и как применяется p0f антибот-системами
Антибот-системы встраивают passive OS fingerprinting прямо в обработчик входящих соединений. Это происходит до разбора HTTP, до проверки TLS ClientHello, до анализа заголовков. По сути, ещё на этапе TCP handshake сервер уже знает «вердикт» по устройству клиента и может использовать его при принятии решений.
Сигнал TCP fingerprint комбинируется с другими: ASN принадлежностью IP, TLS fingerprint (JA3/JA4), поведенческими паттернами. Если IP относится к мобильному оператору, TLS fingerprint соответствует Android-браузеру, а TCP fingerprint говорит «Linux» — противоречие немедленно поднимает уровень подозрения. Именно здесь «срезаются» большинство прокси, которые используют мобильные IP через серверную инфраструктуру.
Чем Linux-сервер отличается от Android-смартфона на уровне TCP
Стандартный профиль Linux-сервера
Типичный Linux-сервер (Ubuntu 20.04, Debian 11, CentOS 7) при установке TCP-соединения отправляет SYN-пакет со следующими характеристиками:
| Параметр | Типичный Linux-сервер |
|---|---|
| TTL | 64 |
| Window Size | 29200 |
| Window Scale (wscale) | 6 или 7 |
| MSS | 1460 |
| TOS | 0x00 |
| TCP-опции | MSS, SACK, Timestamps, NOP, WScale |
Значение window=29200 с wscale=6 — это «классическая» сигнатура серверного Linux. Она настолько характерна, что p0f узнаёт её с первого пакета. Именно этот профиль видят антибот-системы, когда к ним подключается серверный прокси — даже если у того мобильный IP.
Профиль Android-смартфона
Android основан на ядре Linux, но Google и производители устройств настраивают сетевой стек иначе, чем серверные дистрибутивы:
| Параметр | Android 6–12 (реальное устройство) |
|---|---|
| TTL | 64 |
| Window Size | 65535 |
| Window Scale (wscale) | 8, 9 или 10 |
| MSS | 1460 (LTE) или 1412 (PPPoE-туннель) |
| TOS | 0x28 (Expedited Forwarding) |
| TCP-опции | MSS, SACK, Timestamps, NOP, WScale |
Ключевые отличия — window=65535 и wscale=8–10. TTL совпадает с серверным Linux (тоже 64), но комбинация window + wscale + TOS однозначно указывает на Android. p0f с высокой точностью различает эти профили.
Почему нельзя просто «изменить настройки» сервера
Казалось бы, можно просто поменять sysctl-параметры Linux-сервера и «сымитировать» Android? На практике это не работает по нескольким причинам.
Во-первых, window=65535 и wscale=8 можно установить в sysctl, но тогда все соединения сервера (включая входящие от самих пользователей прокси) получат одинаковый профиль — это неестественно. Во-вторых, некоторые параметры (в частности, TOS/DSCP) устанавливаются на уровне iptables или конкретного приложения, и глобальное изменение ломает работу других сервисов. В-третьих, реальные Android-устройства имеют вариативность параметров — незначительные отличия между версиями прошивки, производителями, операторами. Одинаковый fingerprint на всех соединениях сам по себе является аномалией.
Корректная реализация подмены TCP fingerprint требует перехвата трафика на уровне ядра с применением реальных профилей реальных устройств — именно так мы это и реализовали.
Почему TCP fingerprint критичен для прокси
Маркетплейсы: Wildberries, Ozon, Amazon
Маркетплейсы — наиболее агрессивная среда с точки зрения антибот-защиты. Wildberries обрабатывает десятки миллиардов рублей оборота ежемесячно, и мошенничество с накрутками, ботовые скупки товаров и конкурентный парсинг наносят прямой финансовый ущерб. Поэтому антибот-система WB — одна из наиболее продвинутых на российском рынке.
Наши реальные данные: клиент с 90 000–134 000 запросов в сутки к WB работает через мобильный прокси с правильным passive OS fingerprint. 95,9% запросов — успешны. Специализированный эндпоинт antibot.wildberries.ru, проверяющий каждое соединение, в 73% случаев выдаёт разрешение именно потому, что видит корректный Android-профиль. Серверный прокси на том же IP показывал бы принципиально иную картину.
Для TCP fingerprint прокси это означает следующее: мобильный IP необходим, но недостаточен. Без правильного fingerprint антибот WB «видит» несоответствие между ASN мобильного оператора и TCP-профилем Linux-сервера — и повышает скоринг риска для этого соединения.
Социальные сети и рекламные кабинеты
Facebook, Instagram, TikTok, ВКонтакте используют fingerprinting для защиты рекламных аккаунтов от мультиаккаунтинга и фродовых схем. Рекламный кабинет — это деньги: фрод в Facebook Ads стоит рекламодателям миллиарды долларов ежегодно, платформы кровно заинтересованы в обнаружении неестественных паттернов.
Мобильные устройства — основная платформа потребления контента в социальных сетях. Когда соединение к Facebook приходит с мобильного IP, но с TCP fingerprint Linux, — это противоречие. «Мобильный пользователь» с Linux-профилем — это прокси, и системы безопасности обучены это распознавать. Правильный passive OS fingerprint мобильных прокси устраняет это противоречие.
Арбитраж трафика и мультиаккаунтинг
В арбитраже трафика прокси — это инструмент изоляции аккаунтов. Каждый аккаунт работает через отдельный прокси с уникальным IP. Но изоляция по IP — только первый уровень. Арбитражные платформы отслеживают fingerprint трафика: если 20 аккаунтов с разными IP показывают одинаковый TCP fingerprint Linux — это явная сигнатура прокси-инфраструктуры.
Мобильный прокси с подменой fingerprint даёт каждому аккаунту не просто уникальный IP, но и уникальный «характер» соединения. 28 различных Android-профилей с разными значениями wscale и window вносят естественную вариативность — именно такую, какую ожидаешь от реальных пользователей с разными телефонами.
Антифрод-системы финансовых сервисов
Банки, платёжные системы, страховые компании применяют многоуровневую верификацию при онлайн-операциях. TCP fingerprint входит в набор сигналов наравне с геолокацией IP, device fingerprint браузера и поведенческим анализом. Несоответствие между заявленным типом устройства и TCP-профилем соединения — классический сигнал фрода.
Для работы с финансовыми сервисами через прокси корректный TCP fingerprint прокси — это не «приятное дополнение», а обязательное условие прохождения антифрод-проверок без повышенного скрутинга.
Как мы реализовали подмену TCP fingerprint
Принцип: перехват на уровне ядра
Ключевое решение — серверная реализация подмены fingerprint, прозрачная для пользователя и для любых приложений. Мы не модифицируем клиентское ПО, не требуем специальных настроек от пользователя и не меняем глобальные параметры сетевого стека сервера (что сломало бы другие соединения).
Вместо этого мы перехватываем исходящие SYN-пакеты на уровне сетевого стека ядра Linux — именно в тот момент, когда прокси-сервер инициирует соединение с целевым сайтом от имени пользователя. Пакет перехватывается до отправки в сеть, его TCP-параметры переписываются под целевой Android-профиль, и только после этого пакет уходит к получателю.
Это означает, что целевой сайт видит в точности тот TCP fingerprint, который характерен для реального Android-устройства. Ни маршрутизаторы, ни антибот-системы, ни p0f прокси-анализ не отличат это соединение от соединения настоящего смартфона.
База реальных Android-профилей
Критически важная деталь: мы используем не «синтетические» профили, придуманные вручную, а реальные профили с реальных Android-устройств. Профили были собраны с физических смартфонов — тех самых, которые стоят за нашими USB-роутерами с SIM-картами.
В нашей базе 28 уникальных Android-профилей. Каждый профиль содержит комбинацию параметров, снятых с реального устройства: конкретные значения TTL, window size, wscale, TOS, порядок и параметры TCP-опций. Вариативность между профилями отражает реальное разнообразие: Samsung Galaxy разных поколений отличается от Xiaomi, Redmi отличается от OnePlus, прошивки одного и того же устройства разных годов дают разные параметры.
Это важно: одинаковый fingerprint на всех соединениях — сам по себе аномалия. Реальные пользователи используют разные устройства. 28 профилей создают естественную картину «парка» Android-смартфонов.
Работа системы в продакшне
Система работает полностью прозрачно. Пользователь покупает мобильный прокси и подключается к нему стандартным образом — через любой HTTP/SOCKS5-клиент. Никаких дополнительных настроек не требуется. Подмена TCP fingerprint прокси происходит автоматически на сетевом уровне сервера при каждом исходящем соединении.
Профиль назначается на уровне прокси-сессии и остаётся стабильным в течение сессии — что также соответствует поведению реального устройства. При смене IP (ротация) профиль может меняться, имитируя переключение между устройствами.
Проверка результата: p0f и внешние сервисы
После реализации мы провели верификацию через несколько независимых инструментов. p0f прокси-анализ — это первый тест: p0f v3 с его базой данных OS fingerprints — стандартный инструмент, который используют антибот-системы. Второй канал верификации — публичные сервисы проверки TCP fingerprint, доступные в интернете. Третий — специализированные антибот-анализаторы, такие как Scrapfly.
Результаты подтвердили корректность реализации: соединения через наши мобильные прокси определяются как Android-смартфоны, а не как Linux-серверы.
Результаты: что было и что стало
До внедрения: профиль Linux-сервера
До реализации подмены fingerprint наши мобильные прокси (IP из пула мобильных операторов, реальный мобильный трафик через SIM-карты) имели следующий TCP-профиль при анализе инструментами fingerprinting:
| Параметр | Значение | Интерпретация |
|---|---|---|
| Window Size | 29200 | Серверный Linux |
| wscale | 6 | Серверный Linux |
| TOS | 0x00 | Стандартный Linux |
| Определение p0f | Linux/3.x (или 4.x) | — не Android |
| Результат scrapfly | ~5/10 | Подозрительный трафик |
| Link type | VPN/Tunnel | Явная сигнатура прокси |
Несмотря на то что IP принадлежал мобильному оператору, TCP fingerprint однозначно выдавал Linux-сервер. Для антибот-систем это было противоречием: «мобильный IP, но не мобильное устройство». Такой прокси проходил первичный IP-фильтр, но срезался на уровне fingerprint-анализа.
После внедрения: профиль Android-смартфона
После внедрения подмены fingerprint картина изменилась кардинально:
| Параметр | Значение | Интерпретация |
|---|---|---|
| Window Size | 65535 | Android |
| wscale | 8–10 | Android |
| TOS | 0x28 | Android (Expedited Forwarding) |
| MSS | 1460 (оригинальный) | LTE-соединение |
| Определение p0f | Android/6.x–9.x | Реальный смартфон |
| Результат scrapfly | 9/10 | Легитимный мобильный трафик |
| Link type | Ethernet (физический канал) | Нет признаков туннеля |
Важная деталь: MSS мы намеренно сохраняем оригинальным — тем, который пришёл от реального пользователя. Подмена MSS могла бы создать несоответствия с реальным MTU канала и вызвать аномалии. Оригинальный MSS в сочетании с Android-параметрами window и wscale даёт наиболее естественный итоговый профиль.
Практический результат: оценка scrapfly 9/10
Scrapfly — специализированный сервис для веб-скрапинга, который также предоставляет инструменты проверки качества прокси. Их оценка учитывает множество факторов: ASN репутацию, TCP fingerprint, TLS fingerprint, наличие в блок-листах. Оценка 9/10 означает «легитимный мобильный трафик высокого качества».
До внедрения подмены fingerprint наши мобильные прокси получали оценку около 5/10 именно из-за несоответствия TCP-профиля. С правильным passive OS fingerprint мобильных прокси — 9/10. Это прямо транслируется в успешность работы с защищёнными площадками.
Изменение типа канала с VPN/Tunnel на Ethernet также показательно: без правильного fingerprint анализаторы видели характерные признаки туннелированного (прокси) трафика. После — видят «чистый» канал, неотличимый от прямого подключения реального устройства.
Где работает подмена fingerprint и как получить доступ
Только в мобильных элитных прокси
Функция подмены TCP fingerprint доступна исключительно в тарифе мобильных элитных прокси Frigate Proxy. Это принципиально: технология требует физических мобильных устройств с SIM-картами — только так можно обеспечить корректный мобильный ASN в сочетании с правильным fingerprint.
Серверные прокси (IPv4/IPv6) и резидентские прокси не поддерживают эту функцию по архитектурным причинам. Passive OS fingerprint мобильных прокси — это эксклюзивная возможность мобильного тарифа, отражающая физическую инфраструктуру: реальные телефоны, реальные SIM-карты, реальные мобильные сети операторов России.
Работает автоматически, без настройки
Реализация полностью серверная. Вам не нужно:
- Устанавливать дополнительное ПО или расширения
- Менять настройки браузера, парсера или антидетект-браузера
- Выбирать или настраивать fingerprint вручную
- Использовать специальные параметры подключения
Любое приложение, которое подключается к нашим мобильным прокси — будь то браузер, Python-скрипт, антидетект-браузер или инструмент автоматизации — автоматически получает корректный Android-fingerprint на уровне TCP. Это происходит прозрачно, на сетевом уровне сервера, без какого-либо участия клиентского ПО.
Управление профилем в личном кабинете — скоро
Следующий шаг нашей разработки — возможность выбора fingerprint-профиля в личном кабинете. Скоро пользователи смогут самостоятельно выбирать, какой профиль устройства использовать для каждого прокси:
- Android — различные версии (Android 8, 9, 10, 11, 12) с соответствующими параметрами сетевого стека
- Windows — профиль Windows 10/11 для сценариев, где мобильный профиль менее предпочтителен
- Автоматический — ротация профилей при смене IP (текущее поведение по умолчанию)
Это особенно полезно для специфических сценариев: например, при работе с десктопными рекламными кабинетами, где Windows-профиль выглядит естественнее, или при тестировании поведения антибот-систем с разными fingerprint.
Как получить мобильные элитные прокси с TCP fingerprint
Мобильные элитные прокси с подменой passive OS fingerprint доступны на нашем сайте. Это наш флагманский продукт — физические SIM-карты в мобильных роутерах, реальные IP мобильных операторов России (МТС, Мегафон, Билайн, Теле2), ротация по таймеру или по запросу, HTTP/SOCKS5 поддержка.
Купить мобильные элитные прокси с TCP fingerprint →
FAQ: частые вопросы о TCP fingerprint в прокси
Что такое passive OS fingerprint простыми словами?
Это способ определить, с какого устройства и операционной системы идёт сетевое подключение — только по наблюдению за трафиком, без каких-либо активных вопросов к клиенту. Каждая ОС «разговаривает» в сети немного по-своему: Linux использует одни параметры TCP-соединения, Android — другие, Windows — третьи. Анализируя эти параметры в первом пакете каждого соединения, антибот-системы точно определяют: это реальный телефон или серверный прокси, притворяющийся телефоном.
Обычный мобильный прокси защищает от fingerprint-анализа?
Нет. Обычный мобильный прокси даёт вам мобильный IP-адрес (из пула оператора), но трафик идёт через Linux-сервер. TCP fingerprint при этом остаётся серверным: window=29200, wscale=6 — классика Linux. Антибот-система видит мобильный IP, но Linux-профиль — это противоречие, которое поднимает уровень проверок. Только подмена TCP fingerprint на уровне сервера устраняет это несоответствие.
p0f — это единственный инструмент fingerprint-анализа?
p0f — наиболее известный и широко используемый инструмент для p0f прокси-анализа, но не единственный. Существуют проприетарные реализации от Cloudflare, Akamai, PerimeterX и других вендоров антибот-защиты. Принцип работы схож: анализ параметров SYN-пакета. Наши профили тестировались как через p0f, так и через коммерческие анализаторы — результат одинаковый: Android.
Работает ли подмена fingerprint с любым клиентским ПО?
Да. Поскольку подмена TCP fingerprint реализована на уровне сетевого стека сервера (ядро Linux + перехват на уровне netfilter), она работает прозрачно для любого клиентского приложения. Браузер, антидетект-браузер (Dolphin Anty, Indigo Browser, AdsPower), Python requests, Scrapy, Puppeteer, Playwright, curl — всё работает через одно и то же подключение к прокси, получая корректный fingerprint автоматически.
Подмена fingerprint влияет на скорость прокси?
Влияние минимально и незаметно на практике. Перехват и переписывание SYN-пакета — это операция над одним пакетом размером около 60 байт в начале каждого соединения. Дальнейший трафик (HTTP-запросы, ответы) не затрагивается и не замедляется. Накладные расходы на уровне латентности — менее 1 мс, что ниже естественного джиттера сети.
Можно ли обнаружить подмену fingerprint?
Теоретически — при наличии специализированного анализа с учётом всей суммы сигналов. Практически — нет: наши 28 профилей собраны с реальных устройств, содержат все правильные параметры в правильных сочетаниях, и оцениваются внешними анализаторами как легитимный мобильный трафик (оценка 9/10 у scrapfly). Ни p0f, ни коммерческие fingerprint-системы не отличают наш passive OS fingerprint мобильных прокси от оригинальных Android-устройств.
На каких задачах это критично, а где не важно?
Критично при работе с продвинутыми антибот-системами: Wildberries, Ozon, Amazon, Facebook/Meta, TikTok, Google, финансовые сервисы. Менее важно для простых сценариев без строгой антибот-защиты: парсинг открытых каталогов, работа с сайтами без JavaScript-проверок, тестирование производительности. Но поскольку функция работает автоматически и не требует никакой настройки — она просто есть в любом нашем мобильном прокси, независимо от сценария использования.
Какие операторы доступны?
Наши мобильные прокси работают на SIM-картах операторов: МТС (AS8359), Мегафон (AS31133), Билайн (AS3216), Теле2 (AS41330). Это четыре крупнейших федеральных оператора России. IP-адреса принадлежат именно этим ASN — мобильным, а не дата-центровым. В сочетании с правильным TCP fingerprint прокси это даёт максимально достоверный профиль «реального пользователя в мобильной сети».
Сервисы для проверки TCP fingerprint вашего прокси
Прежде чем запускать рабочие задачи, рекомендуем самостоятельно проверить, как выглядит ваш прокси с точки зрения passive OS fingerprint. Ниже — список инструментов, которые мы используем сами.
- tools.scrapfly.io/api/fp/tcp — показывает JA4T fingerprint, Satori-строку, значения window/TTL/MSS/wscale и тип канала (link type). Для Android ожидается строка вида
65535:64:1:60:M1460,S,T,N,W8:.и link type Ethernet вместо VPN/Tunnel. - witch.valdikss.org.ru — классический детектор на базе p0f v3. Показывает определённую ОС и версию. Цель: Android, а не Linux.
- browserleaks.com/ip — популярный комбинированный детектор (p0f v3/v4). Отображает ОС по TCP fingerprint рядом с IP-информацией.
- proxydetect.live/tcpip.html — специализированный детектор TCP/IP fingerprint. Хороший инструмент для проверки соответствия профиля реальному мобильному устройству.
- p0f.privateproxy.ru — сервис на базе p0f v4. Один из немногих публичных инструментов с поддержкой четвёртой версии — алгоритм определения ОС в нём более точный, чем в p0f v3.
Как проверить: откройте любой из этих URL через ваш прокси. Если в поле «OS» или «link type» отображается Android — fingerprint настроен корректно. Если видите Linux или неизвестную ОС — обратитесь в поддержку.
