"az OS és böngésző meg ott van a user agent string-ben, azt sem agysebészet kinyerni belőle" Triviális spoofolni, szokták is. EZért is jobbak a kliensoldalon futó kódok, amelyek a browser capabilityk alapján meg tudják ezt mondani.