BrowserFM: 16.000 parámetros para identificar tu navegador

Hasta hace poco, el anonimato en el navegador parecía casi ingenuo para los estándares actuales. A principios de la década de 2010, cambiar la dirección IP, usar Tor y modificar el navegador bastaba para convertirte en un nuevo usuario en muchos sistemas. Luego llegaron Canvas, WebGL, AudioContext, WebRTC, Client Hints, WebAssembly, WebGPU y docenas de otras fuentes de señales, y el software antifraude dejó de analizar un solo parámetro y comenzó a analizar una combinación de ellos.

BrowserFM va mucho más allá. En lugar de simplemente crear una huella digital, intenta construir un modelo del entorno de navegación del usuario, recopilando hasta 16 000 atributos diferentes. Y aquí es donde la cosa se pone realmente interesante, porque para los afiliados, los usuarios con múltiples cuentas, los anunciantes, los cazadores de bonificaciones o simplemente cualquiera que crea que "una nueva IP más un nuevo perfil de navegador equivale a un nuevo usuario", las reglas del juego están cambiando silenciosamente.

¿Qué es BrowserFM?

Aquí, FM no tiene nada que ver con la radio: BrowserFM significa Browser Future Model (Modelo Futuro del Navegador). La idea del proyecto es bastante radical: ¿por qué elegir unas pocas docenas de características "buenas" del navegador cuando se puede recopilar prácticamente todo lo que un navegador puede decir sobre el dispositivo? Se basa en la llamada Enumeración BOM, o Enumeración del Modelo de Objetos del Navegador: el sistema recorre los objetos disponibles para el navegador y extrae características de diversas fuentes: Ventana, Navegador, Pantalla, Rendimiento, CSS, GPU, tamaño de la ventana, parámetros de visualización, DPI, resolución, API disponibles, características del entorno de software y muchas más. En total, acumula alrededor de 16 000 atributos.

Muchas soluciones tradicionales buscan un conjunto relativamente pequeño de las características más informativas. BrowserFM se basa en la filosofía opuesta: si el navegador proporciona un parámetro, ¿por qué no usarlo? Por lo tanto, considerar BrowserFM como "otra huella digital" no es del todo exacto. Es más bien un kit de construcción que permite ensamblar una gran cantidad de huellas digitales independientes.

Una impresión se convierte en un árbol.

Imagina un sistema antifraude que toma 16 000 valores y simplemente los comprime en un único hash SHA-256. Cambios en DPI: un nuevo hash. Cambios en el tamaño de la ventana: otro nuevo. Actualizaciones de Chrome: otro más. Un sistema así sería extremadamente sensible y prácticamente inútil para la identificación a largo plazo. BrowserFM hace algo más inteligente: todos los parámetros se distribuyen en ramas (Ventana, Navegador, Pantalla, CSS, GPU, Rendimiento y otras), y cada rama describe su propia parte del entorno.

Esto supone un cambio fundamental. Ahora, la protección antifraude no solo permite comparar la huella digital A con la huella digital B, sino también plantear una pregunta mucho más sutil: "¿Qué partes de la huella digital A son similares a las de B, y cuán significativa es estadísticamente esta similitud?". Esto tiene una consecuencia directa. Supongamos que un usuario actualizó su tarjeta gráfica y que la huella digital clásica, estrechamente ligada a WebGL y WebGPU, ha cambiado notablemente. ¿Por qué descartar el resto de los datos? BrowserFM nos permite decir: "La rama de la GPU es diferente; de ​​acuerdo, ignorémosla por ahora y comparemos todo lo demás". Si la ventana, el navegador, el rendimiento, el CSS y otras características siguen coincidiendo, el sistema tiene motivos para creer que se trata del mismo usuario con hardware actualizado. No es necesario buscar una coincidencia completa; basta con que coincidan partes individuales del modelo.

Hashing difuso: por qué cambiar algunos parámetros no es suficiente

El problema principal ni siquiera radica en la cantidad de características. ¿Sabías que el sistema analiza la resolución de pantalla? Cámbiala. ¿Sabías de la concurrencia de hardware? Cámbiala. Y aún más, del agente de usuario. Si la huella digital fuera un simple hash de un conjunto de parámetros, bastaría con cambiar los datos de entrada para obtener un valor de salida completamente diferente. Pero BrowserFM se basa en la idea del hash difuso: una comparación aproximada. En lugar de requerir una coincidencia exacta, el sistema busca una huella digital similar.

En otras palabras, una huella digital no es una contraseña: no es necesario que coincida bit a bit. El sistema necesita comprender la similitud entre dos entornos, y el modelo permite una variabilidad significativa en algunas características. Por lo tanto, cambiar algunos parámetros obvios no implica necesariamente romper la conexión con el entorno anterior. BrowserFM afirma una precisión de identificación de aproximadamente el 99,7 % en condiciones de prueba adecuadas, lo cual es mucho más impresionante que la cifra de "16.000" por sí sola.

Un ejemplo claro. Primera ejecución: 1920x1080, 96 DPI, Chrome, tarjeta gráfica NVIDIA, 8 hilos de CPU, un conjunto específico de fuentes y métricas de rendimiento específicas. Segunda ejecución: 1366x768, 120 DPI, el mismo Chrome, la misma tarjeta gráfica NVIDIA, los mismos 8 hilos, casi las mismas fuentes y métricas de rendimiento similares. Si solo observamos la captura de pantalla, vemos usuarios diferentes. Si observamos el modelo completo, está lejos de ser seguro. Además, las ramas tienen diferentes ponderaciones: un parámetro fácilmente modificable no debería valorarse tanto como una característica que es difícil de falsificar de forma consistente. Y aquí llegamos a la que quizás sea la parte más interesante de BrowserFM.

Huella digital de rendimiento: Un ordenador delata su velocidad.

Puedes reemplazar una cadena de texto. Puedes cambiar un valor de la API de JavaScript. Puedes indicarle a un sitio web una resolución diferente. Pero lograr que un ordenador funcione de forma fiable como cualquier otro hardware es una tarea incomparablemente más difícil. BrowserFM presta especial atención a la sección de Rendimiento: en el comprobador de demostración, esta categoría incluye por sí sola docenas de métricas de rendimiento diferentes. La lógica es sencilla: si dos dispositivos declaran especificaciones idénticas pero realizan las mismas operaciones de forma fundamentalmente diferente, se genera una señal adicional. Esto es especialmente evidente en el caso de la virtualización y los entornos de navegador creados artificialmente.

Podría decirse: «Soy un ordenador doméstico típico». Pero la identificación del rendimiento plantea una pregunta diferente: «¿Realmente funciona como un ordenador doméstico típico?». Por lo tanto, la rama de rendimiento puede tener mayor peso que la ventana o el navegador, que son fácilmente modificables. Este es un cambio fundamental en la identificación del rendimiento: la lucha contra el fraude pasa gradualmente de la pregunta «¿Qué informa el navegador sobre sí mismo?» a la pregunta «¿Cómo se comportan realmente el navegador y el dispositivo?».

Un nuevo User-Agent ya no implica un nuevo navegador.

Si su plan de anonimización aún depende en gran medida de la suplantación del agente de usuario, tenemos malas noticias. El agente de usuario es solo una señal entre muchas, y el motor del navegador se revela a través de API completamente diferentes. Un ejemplo clásico es la huella digital del contexto de audio: las diferencias en la implementación de la pila de audio y el motor crean características que no se pueden modificar de forma consistente con una sola cadena de agente de usuario.

Ahora bien, a esto hay que añadir Canvas, WebGL, WebGPU, WebAssembly, CSS, Rendimiento, fuentes, Navigator, Screen y miles de características menos evidentes. Resulta sencillo: puedes indicarle a un sitio web que estás usando un navegador diferente, pero los otros 15.999 parámetros también deben coincidir contigo. La coherencia es uno de los principales problemas de la identificación de sitios web moderna.

Un sistema "limpio" también es una huella digital.

Hay un detalle que a menudo se subestima. Supongamos que usted ha configurado un equipo completamente nuevo: una instalación limpia de Windows, un navegador nuevo, una dirección IP nueva y sin cookies. Parecería el usuario nuevo perfecto. Pero surge un problema inesperado: la gente común casi nunca usa computadoras impecables. Con el paso de los meses y los años, se acumula basura digital en el equipo (programas, fuentes, extensiones, suites ofimáticas, editores gráficos, aplicaciones de utilidad) y todo esto cambia gradualmente el entorno que ve el navegador. Por lo tanto, una instalación de Windows completamente limpia puede ser en sí misma una señal interesante contra el fraude.

Las fuentes tipográficas son la biografía del sistema.

La identificación de fuentes tipográficas existe desde hace mucho tiempo, pero resulta especialmente útil en un sistema a gran escala como BrowserFM. El conjunto de fuentes disponibles revela indirectamente la localización del sistema, el software instalado, la antigüedad del entorno y el uso que se le da al ordenador. Microsoft Office aporta sus propias fuentes, las aplicaciones de Adobe dejan un conjunto diferente de vestigios y los paquetes de idiomas un tercero. Todo ello conforma un historial único de la vida del sistema.

Imaginemos a un usuario que afirma: «Soy un estadounidense común y corriente que lleva mucho tiempo usando este ordenador con Windows». Pero su entorno parece un sistema instalado hace veinte minutos, sin su software característico y con fuentes de una configuración regional completamente distinta. Cada señal individual no demuestra nada, pero así es precisamente como funciona la identificación digital en el siglo XXI: las señales débiles se suman para llegar a una conclusión contundente.

VPS, servidor Windows y máquinas virtuales

En algunos casos, resulta conveniente usar un VPS o un servidor remoto, instalar un navegador y navegar por él; desde la perspectiva de la red, todo puede parecer perfecto. Pero la red es solo una capa. Un sistema como BrowserFM analiza las características del entorno en sí: una versión de servidor de Windows difiere de una versión doméstica típica, una instalación nueva tiene un perfil distintivo y un entorno virtualizado añade otro conjunto de señales. Una dirección IP residencial de alta calidad no convierte, por sí sola, un servidor en un portátil doméstico. En pocas palabras: la IP le indica al sitio web de dónde proviene el usuario, y la huella digital intenta comprender cómo llegó a él; y la protección antifraude se interesa por ambas respuestas.

Las máquinas virtuales son un caso aparte. Si bien antes eran una herramienta casi universal para separar entornos, hoy en día la virtualización en sí misma se está convirtiendo en parte de la evaluación de riesgos. BrowserFM resulta interesante en este sentido porque no busca una única bandera mágica como "isVirtualMachine = true", sino que recopila multitud de indicadores indirectos: GPU, rendimiento, fuentes, pantalla, API disponibles, entorno de software, comportamiento del navegador y características del sistema. Individualmente, cada señal es perfectamente válida, pero su combinación puede crear un perfil de máquina virtual distintivo, y esto es mucho más difícil de corregir con una sola configuración.

Antidetect ahora no recopila valores, sino un sistema.

Históricamente, la tarea de un navegador anti-detección era algo así: obtener una huella digital, modificarla y crear un perfil independiente. Pero cuantas más fuentes de información independientes incorpore un navegador, más difícil será mantener su coherencia mutua. Digamos que el sistema anti-detección cambia la GPU: perfecto. Pero, ¿coincide el rendimiento de esa GPU? ¿Y el de la WebGPU? ¿Existe correlación entre el número de núcleos de la CPU y el rendimiento? ¿Coincide la pantalla con el dispositivo anunciado? ¿Es compatible el conjunto de fuentes con el sistema operativo y la configuración regional? ¿Es compatible la versión del navegador con un conjunto específico de API? Generar valores plausibles ya no es suficiente; necesitamos generar un sistema plausible de valores interconectados. Y la diferencia radica en ello.

Una buena analogía es un pasaporte. Nombre: John Smith. País: EE. UU. Año de nacimiento: 1990. Todo parece normal. Pero resulta que el pasaporte se emitió en Francia, el número está en formato alemán, la foto se tomó hace treinta años y la fecha de emisión es mañana. Cada parámetro por separado es plausible, pero juntos son absurdos. Lo mismo ocurre con la huella digital de un navegador. El software antifraude moderno se preocupa cada vez menos por la pregunta "¿se puede falsificar este parámetro?", sino mucho más por "¿se pueden falsificar miles de parámetros y seguir siendo consistentes?". BrowserFM convierte este problema en un principio arquitectónico.

¿Y qué pasa con los teléfonos inteligentes?

Parece que todo es más sencillo en los smartphones: la gama de modelos es limitada, millones de personas tienen iPhones y teléfonos Samsung idénticos, el hardware está unificado, lo que implica que la huella digital debería ser menos única. Pero no necesariamente. Android es particularmente interesante: a pesar de la unificación del hardware, el navegador sigue recibiendo un gran número de características del entorno de software y hardware. Si se combinan estas características en un modelo más amplio y se añaden métricas de rendimiento, el número de combinaciones posibles aumenta drásticamente. Por lo tanto, tecnologías como BrowserFM pueden salvar la brecha entre la huella digital del navegador y la identificación, que antes requería la instalación de una aplicación. Esta es una dirección particularmente prometedora para la lucha contra el fraude móvil.

Por qué BrowserFM es beneficioso para la lucha contra el fraude.

Hay un aspecto de la tecnología que los usuarios no suelen tener en cuenta: el almacenamiento de datos cuesta dinero. Esto es especialmente cierto cuando se manejan cientos de millones de eventos diarios, no solo mil visitantes al mes. Google, Amazon, las redes publicitarias, los bancos, los mercados y las principales plataformas antifraude gestionan volúmenes colosales de datos. Según la arquitectura descrita, la representación de BrowserFM se almacena de forma mucho más compacta que el JSON estándar; las fuentes de datos afirman un ahorro de hasta nueve veces.

Para un solo usuario, esto no representa un gran problema. Para cientos de millones de huellas dactilares, supone una ventaja infraestructural. Y a menudo, el éxito de una tecnología no solo depende de su eficacia, sino también de su coste de implementación para 500 millones de consultas. Si una huella dactilar es más precisa y su almacenamiento resulta más económico, el incentivo para su implementación aumenta drásticamente.

Un modelo que crece con el navegador.

Otro inconveniente del concepto es que no está vinculado a las API actuales. Ha aparecido una nueva interfaz de navegador, que se está incorporando a la rama correspondiente. Ha surgido una nueva forma de obtener información de la GPU, otra señal. Una nueva API de rendimiento, algunas características más. Precisamente por eso, el nombre Future Model parece apropiado: no es una huella digital fija, sino una arquitectura a la que se pueden añadir infinitamente nuevas fuentes de información. Hoy existen 16 000 parámetros. Mañana podrían ser muchos más.

¿Qué significa esto para la contabilidad múltiple? – y la idea principal

La conclusión es desagradable, pero útil: la era de combatir la huella digital sustituyendo algunos parámetros populares está llegando a su fin. Un sistema moderno puede analizar simultáneamente el entorno de red, el navegador, el hardware, el rendimiento, el entorno de software, el historial de cambios, la coherencia de las características y el comportamiento del usuario. BrowserFM cubre principalmente una gran parte del navegador y las capas de hardware/software. Por lo tanto, la pregunta está cambiando gradualmente. Antes, la pregunta era: "¿Ha cambiado mi huella digital?". Ahora, una pregunta más precisa es: "¿El nuevo entorno se asemeja a un dispositivo real e independiente?". Son preguntas completamente diferentes.

Es especialmente importante recordar esto al trabajar con verificadores de huellas digitales. El usuario cambia un parámetro, actualiza la página, ve "ID de huella digital cambiado" y concluye con optimismo que el sitio ahora lo considera una persona diferente. Pero esto puede generar una falsa sensación de seguridad. El hash completo cambia incluso con pequeñas modificaciones en los datos de entrada, pero la solución antifraude no necesita usarlo como único identificador. Puede almacenar y comparar por separado los perfiles de GPU, rendimiento, navegador, pantalla y CSS, y evaluar la similitud entre los perfiles antiguos y nuevos. La cuestión no es si el hash ha cambiado, sino cuánto ha cambiado el espacio de características en sí.

Esto nos lleva a la idea fundamental de BrowserFM, que es más interesante que cualquier número. En unos años, "16.000" podría parecer algo completamente trivial; lo importante es otra cosa: la huella digital de un navegador deja de ser un identificador y se convierte en un modelo de dispositivo. Y un modelo, por su propia naturaleza, está sujeto a cambios. Un usuario puede cambiar su tarjeta gráfica, actualizar su navegador, cambiar la resolución, adquirir un nuevo monitor o instalar Office. Los ordenadores reales cambian constantemente, y una buena solución antifraude no debería perder a un usuario tras cada cambio. Debe comprender la naturaleza del cambio: distinguir la evolución natural de un sistema vivo de un entorno ensamblado apresuradamente que solo pretende ser real.

Esto plantea una pregunta nueva y mucho más compleja para quienes crean perfiles independientes. Antes, la pregunta era: "¿Cómo consigo una nueva huella digital?". Ahora es: "¿Cómo creo un entorno que se comporte como un dispositivo completamente diferente y que mantenga una coherencia interna, evolucionando con el tiempo como lo haría un ordenador real?". No se trata solo de un cambio en la interfaz, sino de un auténtico desafío de ingeniería.