WebGPU: alat antifraud baru yang mulai mengubah aturan permainan

Beberapa tahun yang lalu, diskusi tentang sidik jari peramban (browser fingerprinting) bermuara pada serangkaian kriteria yang sudah dikenal: Canvas, WebGL, AudioContext, dan puluhan sidik jari lainnya yang digunakan oleh situs web untuk mengidentifikasi perangkat. Saat ini, daftar ini dengan cepat menjadi usang. WebGPU, API grafis baru yang memberikan aplikasi web akses hampir langsung ke daya komputasi kartu video, semakin menonjol. Dan di sekitar API inilah generasi baru metode sedang dibangun untuk membedakan pengguna sungguhan dari mesin virtual, VPS, server jarak jauh, atau peramban anti-deteksi.

Mari kita telusuri mengapa teknologi yang dirancang untuk game dan grafis 3D menjadi fokus para ahli anti-penipuan—dan mengapa metode substitusi sidik jari tradisional tidak lagi efektif melawannya.

Mengapa WebGL mulai ditinggalkan?

Selama bertahun-tahun, WebGL menjadi jembatan utama antara browser dan grafis. WebGL memungkinkan sebuah situs web untuk menentukan model kartu grafis, menangkap sidik jari grafis perangkat, menjalankan serangkaian tes visual, dan menggunakan hasilnya untuk identifikasi. Masalahnya adalah pengembangan WebGL telah terhenti: Khronos Group, organisasi di balik standar tersebut, secara eksplisit menyatakan bahwa mereka tidak lagi berniat untuk secara aktif mengembangkan teknologi ini. Arsitektur API sudah ketinggalan zaman, dan kemampuannya tidak lagi memadai untuk kebutuhan web modern.

WebGL sedang digantikan oleh WebGPU. Mengesampingkan detail teknis, intinya sederhana: ini memungkinkan browser untuk bekerja dengan kartu grafis hampir seefisien aplikasi desktop lengkap. Ini berarti akses yang jauh lebih cepat dan lebih dalam ke GPU itu sendiri, memori video, inti komputasi, dan kemampuan grafis modern. Karena itulah WebGPU dikenal sebagai salah satu teknologi kunci masa depan web.

Tidak hanya untuk pengembang

Kemungkinan yang dibuka oleh WebGPU sangat mengesankan. Game AAA berbasis browser, grafis 3D profesional, pemrosesan gambar, pembelajaran mesin langsung di tab, dan pemanfaatan GPU penuh tanpa menginstal perangkat lunak asli—semua ini menjadi kenyataan. Namun ada sisi negatifnya.

Menurut Dmitry Momot, tingkat akses yang sama ini dapat digunakan untuk tujuan jahat: menjalankan perhitungan berat pada perangkat keras orang lain, mengeksekusi kode berbahaya, melakukan serangan berbasis GPU, atau sekadar mengeksploitasi sumber daya komputasi pengguna. Oleh karena itu, WebGPU menarik minat tidak hanya bagi pengembang peramban dan gim, tetapi juga bagi mereka yang terlibat dalam keamanan—baik di sisi pengembang maupun penanggung jawab.

Apa yang sebenarnya dilihat oleh situs tersebut—dan mengapa itu tidak cukup.

Di sinilah letaknya hal yang menarik. Para pengembang Chrome telah secara signifikan membatasi jumlah data yang diberikan WebGPU kepada situs web. Meskipun sebelumnya dimungkinkan untuk mengekstrak informasi yang cukup detail tentang kartu grafis, saat ini sebuah situs web pada dasarnya hanya terbatas pada tiga hal: dukungan WebGPU, produsen GPU, dan arsitektur perangkat. Browser tersebut sudah menyembunyikan pengidentifikasi perangkat keras yang detail. Tampaknya metode fingerprinting klasik telah terpukul, tetapi ini sama sekali tidak menyelesaikan masalah.

Poin utama webinar ini cukup mengejutkan: perangkat lunak anti-penipuan sebagian besar tidak tertarik pada dukungan WebGPU itu sendiri. Banyak yang percaya bahwa jika sebuah situs memeriksa dukungan WebGPU, situs itulah yang mengidentifikasi mesin virtual. Dalam praktiknya, flag "WebGPU Supported" hampir tidak berarti apa-apa. Flag ini dapat diaktifkan secara manual, diubah dalam pengaturan browser, diemulasi, atau dipalsukan dengan berbagai cara—artinya, sebagai indikator tunggal, flag ini praktis tidak berguna.

Selain itu, logika naif "tidak adanya WebGPU berarti itu adalah mesin virtual" menyebabkan banyak kesalahan identifikasi. Kartu grafis lama mungkin tidak mendukung DirectX 12; peramban secara otomatis menonaktifkan WebGPU pada perangkat keras yang tidak didukung; banyak hal bergantung pada driver dan model GPU tertentu. Akibatnya, pengguna biasa dengan komputer lama dapat dengan mudah dicap sebagai pemilik mesin virtual. Beberapa layanan verifikasi sidik jari populer melakukan hal yang sama—dan itulah mengapa penilaian mereka tidak dapat dianggap dapat diandalkan.

Jadi, apa sebenarnya yang menentukan ketersediaan WebGPU? Menurut webinar tersebut, browser membuat keputusannya berdasarkan beberapa faktor: dukungan DirectX 12, versi model driver WDDM, kemampuan kartu grafis itu sendiri, dan kebijakan internal Chrome. Inilah mengapa versi browser yang sama dapat berperilaku sangat berbeda pada dua mesin yang berbeda. Dan karena dukungan itu sendiri sangat mudah dipalsukan—melalui registri Windows, dengan memalsukan properti browser, dengan mengedit respons API JavaScript, atau dengan alat khusus—sistem anti-penipuan modern telah lama berhenti mengandalkannya.

Kekuatan sesungguhnya terletak pada tolok ukur.

Jika WebGPU harganya sangat murah, lalu di mana letak nilainya untuk pencegahan penipuan? Jawabannya terletak pada tolok ukur kinerjanya. WebGPU memungkinkan perhitungan yang benar-benar intensif dijalankan langsung pada kartu grafis pengguna, dan selama pengujian ini, kecepatan pemrosesan, kinerja GPU sebenarnya, dan spesifikasi arsitekturnya dapat diukur. Hasil dari perhitungan ini menjadi sidik jari baru yang jauh lebih andal.

Perbedaan dengan WebGL sangat mendasar. WebGL juga dapat menjalankan pengujian grafis, tetapi perbedaan antara kartu grafis modern menjadi kabur dan hampir tidak terlihat. WebGPU memiliki akses yang jauh lebih dalam ke sumber daya GPU, sehingga penilaian kinerja jauh lebih akurat. Menurut penulis webinar, statistik yang terkumpul sudah cukup untuk membedakan secara pasti antara berbagai generasi kartu grafis. Inilah yang membuat teknologi ini menjadi alat yang sangat menarik.

Benchmark WebGPU yang diimplementasikan dengan baik mengungkapkan berbagai inkonsistensi: penggunaan browser anti-deteksi, VPS, desktop jarak jauh, dan server khusus, dan yang terpenting, perbedaan antara kartu grafis yang diiklankan dan kinerja sebenarnya. Bayangkan: browser melaporkan bahwa sistem memiliki RTX 4090, tetapi daya komputasinya sesuai dengan grafis terintegrasi Intel. Perbedaan ini langsung terlihat.

Hal ini mengarah pada kesimpulan penting bagi mereka yang mencoba menyamarkan lingkungan sekitar mereka. Sebelumnya, cukup dengan mengganti string nama GPU, dan sidik jari akan terlihat meyakinkan. Sekarang, itu tidak cukup. Jika browser menyatakan satu model, tetapi kinerja menunjukkan arsitektur yang sama sekali berbeda, ini menciptakan kontradiksi yang paling dihargai oleh perangkat lunak anti-penipuan. Mengganti model GPU saja tidak lagi efektif.

Bisakah Anda mengetahui kapan Anda sedang diperiksa?

Muncul pertanyaan logis: apakah mungkin untuk mengetahui apakah sebuah situs web sedang menjalankan benchmark WebGPU pada tahap ini? Menurut Dmitry Momot, ya, dan ada dua pendekatan utama.

Pertama, pantau beban kartu grafis. Benchmark yang berat akan memberikan beban yang cukup besar pada GPU, dan ini terutama terlihat pada chip terintegrasi yang lemah: begitu Anda membuka monitor beban kartu grafis, lonjakan aktivitas yang khas akan muncul pada grafik. Di sisi lain, pengujian yang lebih ringan dapat berjalan hampir tanpa jejak.

Pendekatan kedua adalah dengan melihat kode halaman. Panggilan JavaScript ke navigator.gpu merupakan indikator kuat bahwa WebGPU sedang digunakan. Namun, penting untuk mewaspadai pengaburan di sini: kode dapat dengan mudah dikaburkan untuk menyembunyikan panggilan tersebut.

Oleh karena itu, saran praktis dari webinar ini, yang pada awalnya terdengar paradoks. Bahkan pengujian yang sangat berat pun dapat berjalan hampir tanpa terasa pada RTX 4090 yang bertenaga, sementara grafis terintegrasi yang sederhana merespons beban jauh lebih dramatis. Karena itu, ketika menganalisis kinerja situs web menggunakan benchmark WebGPU, perangkat keras yang lebih lemah terkadang lebih menguntungkan daripada perangkat keras kelas atas.

Apa artinya?

WebGPU dengan cepat menjadi salah satu sumber data paling menarik untuk sistem anti-penipuan modern. Namun, pelajaran kuncinya adalah: bukan teknologinya sendiri yang berharga, melainkan perilaku perangkat kerasnya. Bendera dukungan itu sendiri hampir tidak berarti apa-apa dan mudah ditiru—kekuatan sebenarnya berasal dari kemampuan untuk menjalankan perhitungan yang canggih dan membandingkan spesifikasi perangkat yang dinyatakan dengan perilaku dunia nyatanya.

Pergeseran ini membuka cara baru untuk mendeteksi peramban anti-deteksi, sidik jari GPU palsu, mesin virtual, VPS, dan server jarak jauh, serta setiap perbedaan antara kinerja perangkat keras yang dinyatakan dan yang sebenarnya. Dan semakin luas penggunaan WebGPU, semakin jelas tren keseluruhannya: karakteristik komputasi perangkat menjadi lebih penting daripada string User Agent atau nama kartu grafis yang mewah.

Bagi para spesialis keamanan informasi, ini merupakan pergeseran paradigma—transisi bertahap dari menganalisis sidik jari statis ke menganalisis perilaku aktual perangkat keras. Dan, tampaknya, ini baru permulaan.