WebGPU: la nueva herramienta antifraude que ya está cambiando las reglas del juego

Hace apenas unos años, las discusiones sobre la identificación de navegadores se reducían a un conjunto de criterios ya conocidos: Canvas, WebGL, AudioContext y docenas de otras huellas digitales que un sitio web utilizaba para identificar un dispositivo. Hoy en día, esta lista se está quedando obsoleta rápidamente. WebGPU, una nueva API gráfica que proporciona a las aplicaciones web acceso casi directo a la potencia de cálculo de una tarjeta gráfica, está ganando terreno. Y es en torno a esta API que se está desarrollando una nueva generación de métodos para distinguir a un usuario real de una máquina virtual, un VPS, un servidor remoto o un navegador con evasión de detección.

Analicemos por qué una tecnología diseñada para videojuegos y gráficos 3D se ha convertido en el objetivo de los expertos en lucha contra el fraude, y por qué los métodos tradicionales de sustitución de huellas dactilares ya no funcionan contra ella.

Por qué WebGL está cediendo terreno

Durante muchos años, WebGL fue el principal nexo entre el navegador y los gráficos. Permitía a un sitio web determinar el modelo de la tarjeta gráfica, capturar una huella gráfica del dispositivo, ejecutar una serie de pruebas visuales y utilizar los resultados para su identificación. El problema es que el desarrollo de WebGL se ha estancado: el Grupo Khronos, la organización responsable del estándar, ha declarado explícitamente que ya no tiene intención de desarrollar activamente la tecnología. La arquitectura de la API está desactualizada y sus capacidades ya no son suficientes para las necesidades de la web moderna.

WebGL está siendo reemplazado por WebGPU. Dejando de lado los detalles técnicos, la esencia es simple: permite que el navegador trabaje con la tarjeta gráfica casi con la misma eficiencia que las aplicaciones de escritorio completas. Esto se traduce en un acceso mucho más rápido y profundo a la GPU, la memoria de vídeo, los núcleos de procesamiento y las capacidades gráficas modernas. De ahí la reputación de WebGPU como una de las tecnologías clave del futuro de la web.

No solo para desarrolladores

Las posibilidades que ofrece WebGPU son impresionantes. Juegos AAA basados ​​en navegador, gráficos 3D profesionales, procesamiento de imágenes, aprendizaje automático directamente en la pestaña y utilización completa de la GPU sin instalar software nativo: todo esto se está convirtiendo en realidad. Pero hay una desventaja.

Según Dmitry Momot, este mismo nivel de acceso puede utilizarse con fines maliciosos: para realizar cálculos complejos en el hardware de otra persona, ejecutar código malicioso, llevar a cabo ataques basados ​​en la GPU o simplemente explotar los recursos informáticos del usuario. Por lo tanto, WebGPU interesa no solo a los desarrolladores de navegadores y juegos, sino también a quienes trabajan en seguridad, tanto para quienes se dedican a la protección de datos como para quienes la utilizan.

Lo que realmente ve el sitio y por qué no es suficiente.

Aquí es donde la cosa se pone interesante. Los desarrolladores de Chrome han limitado significativamente la cantidad de datos que WebGPU proporciona a los sitios web. Si bien antes era posible extraer información bastante detallada sobre una tarjeta gráfica, hoy en día un sitio web se limita esencialmente a tres cosas: compatibilidad con WebGPU, el fabricante de la GPU y la arquitectura del dispositivo. El navegador ya oculta identificadores de hardware detallados. Parecería que la huella digital clásica ha sufrido un duro golpe, pero esto no resuelve el problema en absoluto.

El punto principal del seminario web resulta sorprendente: el software antifraude no suele prestar mucha atención a la compatibilidad con WebGPU. Muchos creen que si un sitio web comprueba la compatibilidad con WebGPU, es el que identifica la máquina virtual. En la práctica, la etiqueta "WebGPU Supported" no significa prácticamente nada. Se puede habilitar manualmente, modificar en la configuración del navegador, emular o falsificar de innumerables maneras; es decir, como indicador independiente, resulta prácticamente inútil.

Además, la lógica simplista de que "si no tiene WebGPU, es una máquina virtual" genera numerosos falsos positivos. Una tarjeta gráfica antigua puede no ser compatible con DirectX 12; el navegador desactiva automáticamente WebGPU en hardware no compatible; mucho depende del controlador y del modelo específico de la GPU. Como resultado, un usuario común con un ordenador antiguo puede ser fácilmente identificado erróneamente como propietario de una máquina virtual. Algunos servicios populares de verificación de huellas digitales hacen precisamente esto, y por eso sus veredictos no pueden considerarse fiables.

¿Qué determina realmente la disponibilidad de WebGPU? Según el seminario web, el navegador toma su decisión basándose en varios factores: compatibilidad con DirectX 12, la versión del controlador WDDM, las capacidades de la tarjeta gráfica y las políticas internas de Chrome. Por eso, la misma versión del navegador puede comportarse de forma totalmente diferente en dos equipos. Y dado que la compatibilidad con WebGPU es tan fácil de falsificar —mediante el registro de Windows, la suplantación de propiedades del navegador, la edición de las respuestas de la API de JavaScript o herramientas especiales—, los sistemas antifraude modernos dejaron de depender de ella hace tiempo.

El verdadero poder reside en el punto de referencia.

Si una WebGPU prácticamente no cuesta nada, ¿dónde reside su valor para la lucha contra el fraude? La respuesta está en su rendimiento. Una WebGPU permite ejecutar cálculos intensivos directamente en la tarjeta gráfica del usuario, y durante esta prueba se pueden medir la velocidad de procesamiento, el rendimiento real de la GPU y las características específicas de su arquitectura. El resultado de estos cálculos se convierte en una huella digital nueva y mucho más fiable.

La diferencia con WebGL es fundamental. Si bien también permitía realizar pruebas gráficas, las diferencias entre las tarjetas gráficas modernas eran difusas y apenas perceptibles. WebGPU tiene un acceso mucho más profundo a los recursos de la GPU, por lo que las evaluaciones de rendimiento son significativamente más precisas. Según el autor del seminario web, las estadísticas acumuladas ya son suficientes para distinguir con seguridad entre diferentes generaciones de tarjetas gráficas. Esto es precisamente lo que convierte a esta tecnología en una herramienta tan atractiva.

Una prueba de rendimiento WebGPU bien implementada revela una amplia gama de inconsistencias: el uso de navegadores anti-detección, VPS, escritorios remotos y servidores dedicados, y, lo que es más importante, la discrepancia entre la tarjeta gráfica anunciada y su rendimiento real. Imagínese: el navegador informa que el sistema tiene una RTX 4090, pero la potencia de cálculo coincide con la de los gráficos integrados de Intel. Esta discrepancia es inmediatamente evidente.

Esto lleva a una conclusión importante para quienes intentan ocultar su entorno. Antes, bastaba con reemplazar la cadena del nombre de la GPU para que la huella digital pareciera convincente. Ahora, eso no es suficiente. Si el navegador declara un modelo, pero el rendimiento revela una arquitectura completamente diferente, se crea la contradicción que más valora el software antifraude. Simplemente reemplazar el modelo de la GPU ya no funciona.

¿Puedes saber cuándo te están revisando?

Surge una pregunta lógica: ¿es posible saber si un sitio web está ejecutando una prueba de rendimiento WebGPU en este punto? Según Dmitry Momot, sí, y existen dos enfoques principales.

Lo primero es monitorizar la carga de la tarjeta gráfica. Una prueba de rendimiento exigente supone una carga considerable para la GPU, especialmente en chips integrados de bajo rendimiento: en cuanto se abre el monitor de carga de la tarjeta gráfica, aparecen picos característicos de actividad en el gráfico. Las pruebas más ligeras, en cambio, pueden ejecutarse prácticamente sin dejar rastro.

El segundo método consiste en examinar el código de la página. Una llamada a `navigator.gpu` mediante JavaScript indica claramente que se está utilizando la WebGPU. Sin embargo, es importante tener en cuenta la ofuscación: el código puede ofuscarse fácilmente para ocultar dichas llamadas.

De ahí el consejo práctico del seminario web, que a primera vista puede parecer paradójico. Incluso una prueba muy exigente puede pasar casi desapercibida en una potente RTX 4090, mientras que una tarjeta gráfica integrada modesta responde de forma mucho más drástica a la carga. Por lo tanto, al analizar el rendimiento de los sitios web mediante pruebas de rendimiento WebGPU, a veces resulta más conveniente un hardware menos potente que uno de gama alta.

Qué significa

WebGPU se está convirtiendo rápidamente en una de las fuentes de datos más interesantes para los sistemas antifraude modernos. Pero la clave está en lo siguiente: lo valioso no es la tecnología en sí, sino el comportamiento del hardware. El indicador de compatibilidad es prácticamente irrelevante y se puede emular fácilmente; el verdadero potencial reside en la capacidad de realizar cálculos complejos y comparar las especificaciones declaradas del dispositivo con su comportamiento real.

Este cambio abre nuevas vías para detectar navegadores que evitan la detección, huellas digitales de GPU falsas, máquinas virtuales, VPS y servidores remotos, así como cualquier discrepancia entre el rendimiento declarado y el real del hardware. Y cuanto más se generaliza WebGPU, más evidente se vuelve la tendencia general: las características de procesamiento del dispositivo están adquiriendo mayor importancia que la cadena del agente de usuario o un nombre llamativo para la tarjeta gráfica.

Para los especialistas en seguridad informática, esto representa un cambio de paradigma: una transición gradual del análisis de huellas digitales estáticas al análisis del comportamiento real del hardware. Y, al parecer, esto es solo el principio.