Audio Fingerprint: por qué falsificar la «huella de audio» delata el perfil en vez de ocultarlo

En lo que respecta a la identificación del navegador mediante huellas digitales, el contexto de audio suele agruparse con Canvas, WebGL, las fuentes y otras fuentes de identificadores del navegador. La lógica parece obvia: el navegador realiza una operación, recibe un resultado, este se convierte en una huella digital de audio y el sitio web la utiliza para identificar al usuario. Esto lleva a una conclusión aún más obvia: si la huella digital se puede modificar, entonces debe modificarse. Esta es la lógica subyacente a la mayoría de las configuraciones anti-detección, y es precisamente aquí donde se descubren con mayor frecuencia los perfiles.

En la práctica, esta es una de las ideas erróneas más peligrosas en los enfoques antifraude. Los sistemas modernos antibot y antifraude suelen estar interesados ​​no tanto en el resultado del Contexto de audio en sí, sino en el proceso para obtenerlo. La pregunta no es "¿Cuál es la huella digital de audio de este usuario?", sino "¿Cuánto tiempo tardó su ordenador en calcularla y este rendimiento coincide con el entorno anunciado?". En este punto, el Contexto de audio se transforma sin problemas de una "huella digital de audio" en una pequeña prueba de rendimiento del navegador.

Por qué el nombre "huella digital de audio" es engañoso

La sola palabra "audio" evoca imágenes de tarjetas de sonido, altavoces o micrófonos. Sin embargo, el mecanismo funciona de manera diferente: el navegador crea un audiograma virtual, genera una señal, la procesa mediante la API de audio web y analiza el resultado, todo ello sin reproducir ningún sonido real ni acceder al micrófono. Una parte importante de los cálculos se realiza directamente en el navegador, e incluso un sistema sin tarjeta de sonido física puede ejecutarlos fácilmente. Por lo tanto, una huella digital de audio no es un "número de serie del sistema de sonido", sino el resultado de una implementación específica del motor de audio del navegador utilizando un conjunto determinado de parámetros de entrada.

El método en sí no es nuevo. A mediados de la década de 2010, investigadores que estudiaban técnicas de identificación encubierta en sitios web importantes descubrieron la API de audio web: la página realizaba cálculos de audio y devolvía un valor de salida bastante estable. Superficialmente, parecía una huella digital clásica: el cálculo produce un conjunto de números que luego se utilizan para construir un identificador compacto. Pero la estabilidad del valor no significa necesariamente que sea único.

Imaginemos que un navegador devuelve 35,738329593092, y este número permanece invariable durante meses: una huella digital aparentemente excelente. Pero si millones de usuarios del mismo navegador reciben el mismo valor, su valor de identificación se vuelve completamente diferente. Es útil para describir una familia de navegadores o la implementación de un motor de audio, pero no para identificar a una persona específica, al igual que un User-Agent: una señal útil, pero no un identificador único. Y dado que el algoritmo de procesamiento de audio de Chromium cambia poco, el resultado puede persistir en múltiples versiones de Chrome y entre diferentes navegadores Chromium —Edge, Opera y otros— que comparten el mismo código base.

La singularidad es una trampa.

Aquí reside la paradoja que confunde a muchos. Un valor de audio natural se encuentra en millones de personas. El sistema anti-detección lo altera aleatoriamente para hacer que el perfil sea más "único", convirtiendo un valor común y predecible en algo raro y artificial. El intento de ser menos detectable hace que el perfil sea más perceptible.

El problema radica en una falacia de identificación persistente: cuanto más diferentes sean tus parámetros de los de los demás, mejor. En lo que respecta a la privacidad, suele ser al revés. Si un millón de usuarios parecen idénticos, es difícil identificar a alguno en particular; si tu navegador es el único en todo el conjunto de datos que devuelve una combinación determinada, te conviertes en un punto de referencia. Un buen perfil no tiene por qué ser único; lo más común es que sea plausible. Único ≠ realista.

En el caso de las cuentas múltiples, la conclusión es sencilla: el botón de "ruido" o la aleatorización de audio en un navegador anti-detección parece útil, pero si devuelve un valor raro y atípico, el perfil se vuelve más visible, no menos. Es más seguro no tener una huella de audio "única", sino una producida en masa, esperada para el navegador que se utiliza, que te mimetice con millones de usuarios.

El verdadero valor no reside en la huella, sino en el tiempo.

Si la huella digital en sí misma es tan poco interesante, ¿para qué usar el Contexto de audio? Porque la huella digital solo proporciona la mitad de la información. La otra mitad es el tiempo que tardó el navegador en obtenerla. Cada cálculo consume tiempo de CPU: crear un contexto de audio, configurar un generador de señales, procesar los datos mediante diversas operaciones DSP, realizar los cálculos y generar el búfer final. Es una cadena simple: Contexto de audio → cálculo → CPU → tiempo de ejecución.

Imaginemos dos sistemas. El sistema A es un PC físico moderno con un procesador de escritorio rápido. El sistema B es un VPS con recursos limitados, donde el tiempo de CPU se divide entre varias máquinas virtuales. Ambos son capaces de devolver exactamente la misma huella digital de audio, pero el primero la calcula rápidamente, mientras que el segundo es notablemente más lento. Si solo observamos la huella digital, los sistemas parecen idénticos; al analizar los tiempos, se revela información adicional. Aquí es donde entra en juego Audio Context como una pequeña prueba de rendimiento de CPU basada en el navegador.

Por qué los tiempos son más interesantes que cualquier valor

Los sistemas antifraude se centran en los tiempos de ejecución por una razón sencilla: suele ser más fácil falsificar un número que las propiedades físicas del entorno. Se pueden interceptar las API de JavaScript, modificar los valores de retorno y sobrescribir algunas propiedades del navegador. Sin embargo, los cálculos deben realizarse en algún lugar. Si el entorno afirma ser un navegador Chrome convencional en un PC moderno, pero varias pruebas de rendimiento independientes muestran un rendimiento similar al de un VPS limitado, surge una contradicción. Esto, por sí solo, no prueba el fraude, pero son precisamente este tipo de contradicciones las que buscan los sistemas antifraude.

La lucha contra el fraude no busca “malos valores”, sino inconsistencias.

Los sistemas modernos pueden tener en cuenta simultáneamente el sistema operativo, el navegador, la CPU, WebGL, Canvas, el contexto de audio, la memoria disponible, el número de procesadores lógicos, la resolución de pantalla, la GPU, el comportamiento del usuario, la dirección IP, el ASN, la latencia de red, la zona horaria, el idioma y el historial de la cuenta. Cada parámetro individualmente puede ser perfectamente normal; lo que interesa es su distribución combinada. Una combinación de Chrome, Windows, RTX 4080, 16 subprocesos y 64 GB de memoria parece plausible. Pero si las pruebas de CPU más sencillas se ejecutan a la velocidad de un antiguo procesador de doble núcleo, eso plantea interrogantes.

¿Por qué los VPS y los servidores se delatan a sí mismos?

Un VPS se ejecuta en un servidor físico junto con otras máquinas virtuales. Los usuarios suelen recibir una vCPU, pero una vCPU no siempre equivale a un núcleo físico dedicado: el rendimiento depende de la carga de trabajo de las máquinas virtuales adyacentes, el planificador del hipervisor, la sobreasignación de recursos, NUMA, la frecuencia del procesador físico, las limitaciones del proveedor y muchos otros factores. Por lo tanto, la misma prueba de rendimiento de JavaScript en un VPS puede mostrar tiempos más inestables o inusuales.

Hay un detalle que la mayoría de la gente pasa por alto al alquilar un servidor: se fijan en el número de núcleos, la RAM, el SSD y la red, mientras que el rendimiento de un solo núcleo suele pasar desapercibido. Mientras tanto, las tareas basadas en el navegador a menudo no escalan bien entre docenas de núcleos; una pequeña prueba de rendimiento secuencial de JS apenas se beneficia de 64 núcleos; la velocidad de un solo núcleo es mucho más importante. Un servidor con un gran número de núcleos lentos ofrece un rendimiento menos similar al de un ordenador de escritorio para ciertas operaciones del navegador que una CPU moderna típica con un alto rendimiento de un solo hilo. Una advertencia: comparar procesadores únicamente por gigahercios no es apropiado; el IPC, la generación, el impulso y la microarquitectura tienen un impacto significativo. Pero la conclusión es clara: más núcleos no significan necesariamente un rendimiento más rápido para todas las tareas basadas en el navegador.

Incluso el hardware sin sistema operativo garantiza un rendimiento óptimo. El hardware de servidor puede diferir del hardware de consumo: un procesador Xeon antiguo suele tener muchos núcleos, una frecuencia de reloj relativamente baja y una arquitectura de caché diferente, y algunas pruebas de rendimiento reflejan esta diferencia. Si bien un sitio web no detectará el modelo exacto del procesador Xeon mediante Audio Context, es posible que observe un rendimiento que, estadísticamente, no se corresponda con el perfil de un PC doméstico moderno.

Esto nos lleva a un punto práctico que los arbitrajistas suelen subestimar: la infraestructura en la que se ejecutan los perfiles también influye en el rendimiento. Unos parámetros perfectamente elegidos no servirán de nada si las cuentas se ejecutan en un VPS barato y sobrecargado o en un servidor con muchos núcleos lentos: en términos de latencia, un entorno así no se parece en nada a un ordenador doméstico. Para cuentas de alto valor, es más conveniente elegir hardware con un alto rendimiento de un solo hilo y recursos dedicados, en lugar de centrarse en el número de núcleos y gigabytes de RAM.

Pero esto no es un "detector de máquinas virtuales".

¿Significa esto que Audio Context garantiza la detección de VPS? No, eso es demasiado categórico. Ningún benchmark de navegador es un detector universal de virtualización. La virtualización moderna es muy eficaz, e incluso un ordenador físico puede ser lento: un portátil antiguo, el modo de ahorro de energía, una alta carga en segundo plano, la limitación térmica... todos estos factores distorsionan los tiempos. Una afirmación más precisa es que los tiempos de Audio Context pueden ser uno de los indicadores utilizados para clasificar un entorno.

Una CPU lenta puede indicar un VPS o un portátil antiguo; una sola prueba no puede distinguir estos escenarios, por lo que una buena solución antifraude trabaja con probabilidades y un conjunto de indicadores, en lugar de una regla absoluta como "tiempo superior a X significa bloqueo". Los sistemas comerciales del mundo real son mucho más complejos, pero la puntuación de riesgo sigue siendo un modelo útil. También es importante señalar que la virtualización se puede ajustar: al asignar más CPU a una máquina, usar la fijación de CPU, reducir la contención de recursos, aprovechar la virtualización de hardware, el paso directo de la CPU del host y procesadores con alto rendimiento de un solo hilo, la máquina virtual comenzará a demostrar un rendimiento cercano a su nivel nativo. Cabe mencionar que la virtualización de hardware moderna ejecuta la mayoría de las instrucciones directamente en la CPU, por lo que la idea de que "cada instrucción se emula" es incorrecta; los tiempos se ven afectados por otros factores: la planificación de la vCPU, los temporizadores virtuales, los cambios de contexto y la contención de la CPU. Todo esto demuestra una vez más que la tecnología no "ve VirtualBox"; observa las consecuencias del funcionamiento del entorno. Cuando los efectos desaparecen, la señal también desaparece.

La sustitución es inútil y la aleatorización es peligrosa.

Supongamos que el valor real es la Huella Digital A, y el algoritmo anti-detección la cambia a la Huella Digital B. El número ha cambiado, pero el procesador sigue siendo el mismo, el hipervisor sigue siendo el mismo, los tiempos son similares, WebGL se ejecuta en el mismo entorno y la red no ha cambiado. En el mejor de los casos, se ha reemplazado un indicador débil. En el peor, se ha creado una nueva discrepancia.

Suplantar parámetros al azar es una de las peores estrategias. Consideremos un perfil plausible: Windows 11, Chrome, NVIDIA RTX 4070, 1920x1080, Intel Core i7, sonido de 48 kHz. Si el sistema antifraude comienza a aleatorizar la frecuencia de muestreo, Canvas, WebGL y otros parámetros de forma independiente, la combinación resultante podría ser prácticamente inexistente en la realidad. El sistema antifraude no necesita demostrar qué parámetro específico se está suplantando; basta con observar que el ordenador presenta características estadísticamente inusuales.

Un buen ejemplo es la frecuencia de muestreo. 44,1 y 48 kHz son valores comunes, aunque existen otros. Cambiar la frecuencia de muestreo altera los parámetros originales de procesamiento de audio, lo que significa que la huella digital también puede cambiar. Formalmente, se obtiene una huella digital diferente, pero surge la pregunta de cuán natural es esta configuración para este dispositivo. Una frecuencia inusual no es sospechosa en sí misma: el mundo está lleno de interfaces de audio profesionales y configuraciones no estándar. Una vez más, todo se reduce a la coherencia con las demás características.

En términos prácticos, esta es una respuesta común a la pregunta "¿por qué una cuenta que funcionaba correctamente fue bloqueada repentinamente?". La aleatorización independiente del sonido, Canvas, WebGL y otros componentes crea una combinación que casi nunca existe en el mundo real, y el sistema no necesita entender qué es exactamente lo que has modificado; basta con que el dispositivo en su conjunto parezca irreal.

No el significado, sino la coherencia.

La antigua idea de la huella digital consistía en encontrar un número único e identificar al usuario. El enfoque moderno es más interesante: recopilar multitud de características y comprobar su coherencia. No es necesario conocer el modelo exacto del dispositivo; basta con observar que una parte del sistema indica que se trata de un PC de consumo moderno, mientras que otra parece un entorno de nube débil. Por lo tanto, la anti-detección no es simplemente un generador de huellas digitales aleatorias; la tarea realmente compleja reside en construir un entorno internamente coherente.

Por eso, las huellas digitales del rendimiento resultan cada vez más interesantes. Los parámetros API simples son relativamente fáciles de falsificar: se puede manipular `navigator.hardwareConcurrency`, `Canvas`, `WebGL` o la huella digital de audio devuelta. Pero las características de rendimiento pertenecen a una clase diferente de señales: para que una CPU virtual débil se comporte como un ordenador de escritorio potente, una sola variable no es suficiente. Se puede intentar manipular temporizadores como `performance.now()`, pero esto crea nuevos problemas: JavaScript manipula el tiempo constantemente, y un sitio web puede comparar varios métodos de medición de tiempo independientes simultáneamente.

Audio Context resulta especialmente revelador al combinarse con otras pruebas de rendimiento del navegador. WebGL informa sobre el subsistema gráfico y su rendimiento, mientras que Audio Context informa sobre los cálculos basados ​​en la CPU. Si una prueba de WebGL muestra gráficos deficientes, una prueba de audio muestra una CPU deficiente, el renderizador parece inusual y la dirección IP pertenece a un proveedor de alojamiento, la combinación de estas señales proporciona mucha más información que cualquier parámetro individual.

¿Por qué los sistemas antibots buscan entornos virtuales?

El uso de un VPS o una máquina virtual no es inherentemente fraudulento: las máquinas virtuales son necesarias para desarrolladores, administradores de sistemas, investigadores de seguridad, equipos de control de calidad y empresas. Sin embargo, la actividad automatizada también suele residir en la nube, donde se puede escalar fácilmente, por lo que los indicadores de centros de datos y entornos virtualizados pueden contribuir a la evaluación de riesgos, siendo una señal de alerta en lugar de una sentencia de muerte. Históricamente, esta es la razón por la que Audio Context ha demostrado ser útil contra los bots: a menudo operan en navegadores sin interfaz gráfica, contenedores, máquinas virtuales, VPS económicos y entornos automatizados que difieren de un navegador doméstico típico. Las pruebas de rendimiento del navegador proporcionan otra forma de clasificar a un cliente; la huella digital de audio en sí es secundaria, y la principal preocupación es cómo se comporta el entorno informático.

¿Es posible saber si un sitio web utiliza Audio Context? Sí, la API de Web Audio es una interfaz de navegador, por lo que las herramientas para desarrolladores o extensiones especiales detectan las llamadas correspondientes. Sin embargo, la presencia de Audio Context en una página no implica necesariamente que el sitio tenga una huella digital única: Web Audio se utiliza en servicios de música y vídeo, juegos, visualizaciones, procesamiento de sonido y videoconferencias.

¿Qué implica esto para la contabilidad múltiple, el arbitraje y el marketing?

Si eliminas la teoría y dejas solo lo que influye en la supervivencia de las cuentas, te quedarán unas pocas reglas sencillas.

• La plausibilidad es más importante que la singularidad. No busques una huella digital "única": un valor común y predecible te oculta mejor que uno raro. Ten cuidado con la aleatorización agresiva de audio, Canvas y WebGL: a menudo resalta un perfil en lugar de ocultarlo. 

• La infraestructura es parte de la identidad de un perfil. El procesador que ejecuta el navegador influye en los tiempos de respuesta. Los VPS baratos y sobrecargados, así como los servidores con núcleos lentos, delatan su calidad; para cuentas de alto valor, elija hardware con un rendimiento sólido de un solo hilo y una CPU dedicada, no un número récord de núcleos. 

• La coherencia supera a la sustitución puntual. El perfil completo debe contar una historia coherente: audio, GPU, CPU, pantalla, zona horaria, idioma e IP deben coincidir. La sustitución independiente de valores individuales rompe esta coherencia. 

• Una marca verde no garantiza el éxito. Los verificadores públicos de huellas digitales muestran valores, no comportamiento. Las plataformas reales evalúan la coherencia y la puntualidad, por lo que "superar la verificación" no significa necesariamente "superar la detección de fraude". 

• El objetivo no es esconderse a cualquier precio. No gana el perfil más oculto, aleatorio o singular, sino el que es creíble y coherente internamente. Es el que perdura. 

Lo principal es la verosimilitud, no el disfraz.

La implicación práctica da un giro a la pregunta habitual. En lugar de "¿cómo puedo ocultar mi huella digital de audio?", es más útil preguntar: ¿qué calcula exactamente el sitio web, cuán variable es este valor y, lo más importante, cómo se correlaciona con todo lo demás? Piensa en un navegador como una persona en el control de pasaportes: un documento dice "Tengo 25 años", otro dice "Obtuve mi licencia hace 30 años"; cada uno por separado es impecable, pero juntos son imposibles. Chrome pinta una imagen, WebGL una segunda, el rendimiento de la CPU una tercera y el contexto de audio una cuarta. Si coinciden, el perfil parece natural; si no, hay riesgo. Esta es precisamente la razón por la que la aleatorización sin sentido de valores individuales se desgasta gradualmente: el sistema no necesita saber tu valor real; basta con notar que lo que se muestra no se alinea bien con el resto.

El contexto de audio es un ejemplo perfecto de cómo el nombre de la huella digital puede resultar engañoso. En la superficie se encuentra la huella digital de audio, debajo está el motor de audio del navegador, más profundamente se encuentran los parámetros de procesamiento originales y, en el fondo, el entorno informático que lo ejecuta todo. Es este nivel inferior el que resulta más interesante para la lucha contra el fraude: se pueden modificar valores, interceptar API y reescribir cadenas de texto, pero el comportamiento real del sistema es incomparablemente más difícil de ocultar.

La protección antifraude dejó de buscar una única "huella digital mágica" hace tiempo que ahora construye un modelo de dispositivo y usuario a partir de multitud de señales débiles, y el contexto de audio es solo una de ellas. La huella digital en sí misma puede tener poco valor identificativo, pero su tiempo de cálculo aporta información sobre el rendimiento, y al combinarse con el rendimiento de WebGL, la CPU, la red y el navegador, ayuda a distinguir los entornos de usuario naturales de los inusuales o automatizados. Por lo tanto, sustituir la huella digital de audio no es una solución universal para ocultar el entorno: a veces no cambia nada, a veces crea una anomalía innecesaria y a veces obliga al sistema a plantear una pregunta mucho más incómoda. ¿Por qué el navegador dice una cosa, mientras que el ordenador se comporta de forma completamente diferente?

¿Quieres ser el primero en recibir estos análisis e investigaciones recientes? Regístrate en Detect Expert y suscríbete: todos los artículos y estudios nuevos llegarán a tu correo electrónico. ¡Después de todo, el conocimiento es la mejor defensa contra la detección hoy en día!