BrowserFM: 16.000 parâmetros para identificar seu navegador

Até recentemente, o anonimato do navegador parecia quase ingênuo para os padrões atuais. No início da década de 2010, alterar seu endereço IP, executar o Tor e mexer nas configurações do navegador era suficiente para transformá-lo em um novo usuário para muitos sistemas. Depois vieram o Canvas, WebGL, AudioContext, WebRTC, Client Hints, WebAssembly, WebGPU e dezenas de outras fontes de sinal, e o software antifraude deixou de analisar um único parâmetro e passou a analisar uma combinação deles.

O BrowserFM vai muito além. Em vez de apenas mais uma impressão digital, ele tenta construir um modelo do ambiente de navegação do usuário, coletando até 16.000 atributos diferentes. E é aqui que as coisas ficam realmente interessantes — porque para afiliados, usuários com múltiplas contas, anunciantes, caçadores de bônus ou simplesmente qualquer pessoa que acredite que "um novo IP mais um novo perfil de navegador equivale a um novo usuário", as regras do jogo estão mudando silenciosamente.

O que é o BrowserFM?

FM não tem nada a ver com rádio aqui: BrowserFM significa Browser Future Model (Modelo Futuro do Navegador). A ideia do projeto é bastante radical: por que escolher algumas dezenas de características "boas" de um navegador quando se pode coletar praticamente tudo o que um navegador pode informar sobre o dispositivo? Baseia-se na chamada Enumeração BOM, ou Enumeração do Modelo de Objeto do Navegador: o sistema percorre os objetos disponíveis para o navegador e extrai características de diversas fontes — Janela, Navegador, Tela, Desempenho, CSS, GPU, tamanho da janela, parâmetros de exibição, DPI, resolução, APIs disponíveis, recursos do ambiente de software e dezenas de outras. No total, acumula cerca de 16.000 atributos.

Muitas soluções tradicionais buscam um conjunto relativamente pequeno das características mais informativas. O BrowserFM opera com a filosofia oposta: se o navegador fornece um parâmetro, por que não usá-lo? Portanto, considerar o BrowserFM como "mais uma impressão digital" não é totalmente preciso. É mais como um kit de construção que pode ser usado para montar um grande número de impressões digitais independentes.

Uma impressão se transforma em uma árvore.

Imagine um sistema antifraude que recebe 16.000 valores e simplesmente os comprime em um único hash SHA-256. Mudanças no DPI geram um novo hash. Alterações no tamanho da janela geram outro novo hash. Atualizações do Chrome geram outro novo hash. Um sistema assim seria extremamente sensível e praticamente inútil para identificação a longo prazo. O BrowserFM faz algo mais inteligente: todos os parâmetros são distribuídos entre ramificações — Janela, Navegador, Tela, CSS, GPU, Desempenho e outras — e cada ramificação descreve sua própria parte do ambiente.

Esta é uma mudança fundamental. Agora, os sistemas antifraude podem comparar não apenas "a impressão digital A é igual à impressão digital B?", mas também fazer uma pergunta muito mais sutil: "Quais partes da impressão digital A são semelhantes à B e qual a significância estatística dessa semelhança?". Isso tem uma consequência direta. Digamos que um usuário atualizou sua placa de vídeo e a impressão digital clássica, fortemente ligada ao WebGL e WebGPU, mudou visivelmente. Por que descartar o restante dos dados? O BrowserFM nos permite dizer: "O ramo da GPU é diferente — tudo bem, vamos ignorá-lo por enquanto e comparar todo o resto". Se Janela, Navegador, Desempenho, CSS e uma série de outras características ainda corresponderem, o sistema tem motivos para acreditar que se trata do mesmo usuário com hardware atualizado. Não há necessidade de buscar uma correspondência completa — a correspondência de partes individuais do modelo é suficiente.

Hashing Difuso: Por que alterar alguns parâmetros não é suficiente

O principal problema nem sequer é a quantidade de características. Sabia que o sistema analisa a resolução da tela? Altere-a. Sabia que o sistema analisa a concorrência de hardware? Altere-a. E ainda mais o agente do usuário. Se a impressão digital fosse um simples hash de um conjunto de parâmetros, bastaria alterar os dados de entrada para obter um valor de saída completamente diferente. Mas o BrowserFM baseia-se na ideia de hash difuso — uma comparação aproximada. Em vez de exigir uma correspondência exata, o sistema procura impressões digitais semelhantes.

Em outras palavras, uma impressão digital não é uma senha: não precisa ser idêntica bit a bit. O sistema precisa entender o quão semelhantes são dois ambientes, e o modelo permite uma variabilidade significativa em algumas características. Portanto, alterar alguns parâmetros óbvios não significa necessariamente romper a conexão com o ambiente anterior. A BrowserFM afirma uma precisão de identificação de aproximadamente 99,7% sob condições de teste apropriadas — e isso é muito mais impressionante do que o número de "16.000" por si só.

Um exemplo claro. Primeira execução: 1920x1080, 96 DPI, Chrome, placa gráfica NVIDIA, 8 threads de CPU, um conjunto específico de fontes e métricas de desempenho específicas. Segunda execução: 1366x768, 120 DPI, o mesmo Chrome, a mesma placa gráfica NVIDIA, os mesmos 8 threads, quase as mesmas fontes e métricas de desempenho semelhantes. Observando apenas a captura de tela, estamos falando de usuários diferentes. Observando o modelo completo, a conclusão está longe de ser definitiva. Além disso, os ramos têm pesos diferentes: um parâmetro facilmente alterável não deveria ser tão valorizado quanto uma característica difícil de simular consistentemente. E aqui chegamos talvez à parte mais interessante do BrowserFM.

Impressão digital de desempenho: um computador revela sua velocidade.

Você pode substituir uma string. Você pode alterar um valor da API JavaScript. Você pode informar a um site uma resolução diferente. Mas fazer um computador funcionar de forma confiável como outros hardwares é uma tarefa incomparavelmente mais difícil. O BrowserFM dedica atenção especial à seção de Desempenho: somente na ferramenta de verificação de demonstração, essa categoria inclui dezenas de métricas de desempenho diferentes. A lógica é simples: se dois dispositivos alegam especificações idênticas, mas executam as mesmas operações de maneiras fundamentalmente diferentes, um sinal adicional é gerado. Isso é especialmente evidente no caso de virtualização e ambientes de navegador configurados artificialmente.

Você poderia dizer: "Sou um computador doméstico típico". Mas a Análise de Desempenho faz uma pergunta diferente: "Você realmente funciona como um computador doméstico típico?". Portanto, o ramo de Desempenho potencialmente recebe mais peso do que o da Janela ou do Navegador, que são facilmente modificáveis. Essa é uma mudança fundamental na análise de desempenho: o combate à fraude está gradualmente passando da pergunta "O que o navegador relata sobre si mesmo?" para a pergunta "Como o navegador e o dispositivo realmente se comportam?".

Um novo User-Agent não significa mais um novo navegador.

Se o seu plano de anonimização ainda depende muito de "falsificar o User-Agent", temos más notícias. O User-Agent é apenas um sinal entre muitos, e o mecanismo do navegador se revela por meio de APIs completamente diferentes. Um exemplo clássico é a identificação por meio da impressão digital do AudioContext: diferenças na implementação da pilha de áudio e do mecanismo criam características que não podem ser alteradas de forma consistente com uma única string de User-Agent.

Agora, adicione a isso Canvas, WebGL, WebGPU, WebAssembly, CSS, desempenho, fontes, navegador, tela — e milhares de características menos óbvias. A questão é simples: você pode informar a um site que está usando um navegador diferente, mas os outros 15.999 parâmetros também precisam coincidir com a sua percepção. A consistência é um dos principais desafios da identificação de navegadores moderna.

Um sistema "limpo" também é uma impressão digital.

Há um detalhe que muitas vezes é subestimado. Digamos que você tenha configurado uma máquina totalmente nova: uma instalação limpa do Windows, um navegador novo, um novo endereço IP e nenhum cookie. Pareceria o usuário perfeito. Mas surge um problema inesperado: pessoas comuns quase nunca usam computadores completamente limpos. Ao longo de meses e anos, lixo digital se acumula na máquina — programas, fontes, extensões, suítes de escritório, editores gráficos, aplicativos utilitários — e tudo isso altera gradualmente o ambiente que o navegador enxerga. Portanto, uma instalação completamente limpa do Windows pode, por si só, ser um interessante sinal antifraude.

As fontes são a biografia do sistema.

A identificação de fontes (font fingerprinting) existe há muito tempo, mas torna-se especialmente útil em um sistema de grande escala como o BrowserFM. O conjunto de fontes disponíveis revela indiretamente a localização do sistema, o software instalado, a idade do ambiente e a natureza do uso do computador. O Microsoft Office traz suas próprias fontes, os aplicativos da Adobe deixam um conjunto diferente de vestígios e os pacotes de idiomas, um terceiro. Tudo isso contribui para um histórico único da vida útil do sistema.

Imagine um usuário que afirma: "Sou apenas um americano comum que usa este computador com Windows há muito tempo". Mas o ambiente do usuário parece um sistema instalado há vinte minutos — sem o software de assinatura do usuário e com fontes de um idioma completamente diferente. Cada sinal individual não prova nada, mas é exatamente assim que a coleta de impressões digitais funciona no século XXI: sinais fracos se somam a uma conclusão forte.

VPS, servidor Windows e máquinas virtuais

Em alguns cenários, é conveniente usar um VPS ou um servidor remoto, instalar um navegador e trabalhar por meio dele — e, do ponto de vista da rede, tudo pode parecer perfeito. Mas a rede é apenas uma camada. Um sistema como o BrowserFM analisa as características do próprio ambiente: uma versão de servidor do Windows difere de uma versão doméstica típica, uma instalação recente tem um perfil distinto e um ambiente virtualizado adiciona outro conjunto de sinais. Um endereço IP residencial de alta qualidade não transforma, por si só, um servidor em um laptop doméstico. Simplificando: o IP informa ao site de onde você está acessando, e a impressão digital tenta entender como você chegou lá — e o sistema antifraude está interessado em ambas as respostas.

Máquinas virtuais são uma história diferente. Elas já foram uma ferramenta quase universal para separar ambientes; hoje, a própria virtualização está se tornando parte da avaliação de risco. O BrowserFM é interessante nesse sentido porque não tenta encontrar uma única flag mágica como "isVirtualMachine = true", mas sim coleta uma infinidade de indicadores indiretos: GPU, desempenho, fontes, tela, APIs disponíveis, ambiente de software, comportamento do navegador e recursos do sistema. Individualmente, cada sinal é perfeitamente legítimo, mas a combinação deles pode criar um perfil de máquina virtual distinto — e isso é muito mais difícil de corrigir com uma única configuração.

O Antidetect agora não coleta valores, mas sim um sistema.

Historicamente, a tarefa de um navegador anti-detecção era algo como: obter uma impressão digital, modificar essa impressão digital e criar um perfil independente. Mas quanto mais fontes independentes de informação um navegador incorpora, mais difícil se torna manter a consistência entre elas. Digamos que o anti-detecção altere a GPU — ótimo. Mas o desempenho dessa GPU é compatível? O desempenho da WebGPU é compatível? O número de núcleos da CPU corresponde ao desempenho? A tela corresponde ao dispositivo anunciado? O conjunto de fontes é compatível com o sistema operacional e o idioma? A versão especificada do navegador suporta um conjunto específico de APIs? Gerar valores plausíveis não é mais suficiente — precisamos gerar um sistema plausível de valores interconectados. E a diferença aqui é enorme.

Uma boa analogia é um passaporte. Nome: John Smith. País: EUA. Ano de nascimento: 1990. Tudo parece normal. Mas então descobre-se que o passaporte foi emitido na França, o número está em formato alemão, a foto foi tirada há trinta anos e a data de emissão é amanhã. Cada parâmetro individualmente é plausível, mas juntos são absurdos. O mesmo acontece com a impressão digital de um navegador. O software antifraude moderno está cada vez menos preocupado com a questão "este parâmetro pode ser falsificado?" - é muito mais importante: "milhares de parâmetros podem ser falsificados e ainda assim permanecer consistentes?" O BrowserFM transforma esse problema em um princípio arquitetônico.

E quanto aos smartphones?

Parece que tudo é mais simples em smartphones: a gama de modelos é limitada, milhões de pessoas têm iPhones e celulares Samsung idênticos, o hardware é unificado, o que significa que a impressão digital deveria ser menos exclusiva. Mas não necessariamente. O Android é particularmente interessante: apesar da unificação do hardware, o navegador ainda recebe um grande número de características do ambiente de software e hardware. Combine essas características em um modelo maior, adicione métricas de desempenho e o número de combinações possíveis aumenta drasticamente. Portanto, tecnologias como o BrowserFM podem preencher a lacuna entre a coleta de impressões digitais do navegador e a identificação, que antes exigia a instalação de um aplicativo. Essa é uma direção particularmente promissora para o combate a fraudes em dispositivos móveis.

Por que o BrowserFM é benéfico para o próprio sistema antifraude?

Há um lado da tecnologia que os usuários geralmente não consideram: o armazenamento de dados custa dinheiro. Isso é especialmente verdadeiro quando se tem centenas de milhões de eventos diários, e não apenas mil visitantes por mês. Google, Amazon, redes de publicidade, bancos, marketplaces e as principais plataformas antifraude lidam com volumes colossais de dados. De acordo com a arquitetura declarada, a representação do BrowserFM é armazenada de forma muito mais compacta do que o JSON padrão — fontes de dados afirmam uma economia de até nove vezes.

Para um único usuário, isso é um detalhe. Para centenas de milhões de impressões digitais, é uma vantagem infraestrutural. E, frequentemente, o destino de uma tecnologia é decidido não apenas pela pergunta "quão bem ela funciona?", mas também "quanto custa implementá-la em 500 milhões de consultas?". Se uma impressão digital for mais precisa e mais barata de armazenar, o incentivo para implementá-la aumenta drasticamente.

Um modelo que cresce com o navegador.

E outra característica infeliz do conceito: ele não está vinculado às APIs atuais. Uma nova interface de navegador surgiu — e está sendo adicionada à ramificação correspondente. Uma nova maneira de obter informações da GPU apareceu — mais um sinal. Uma nova API de desempenho — mais algumas características. É exatamente por isso que o nome Modelo Futuro parece apropriado: não se trata de uma impressão digital fixa, mas de uma arquitetura à qual novas fontes de informação podem ser adicionadas indefinidamente. Hoje, existem 16.000 parâmetros. Amanhã, poderão existir ainda mais.

O que isso significa para a contabilidade múltipla – e qual é a ideia principal?

A conclusão é desagradável, mas útil: a era de combater a identificação digital substituindo alguns parâmetros populares está chegando ao fim. Um sistema moderno pode analisar simultaneamente o ambiente de rede, o navegador, o hardware, o desempenho, o ambiente de software, o histórico de alterações, a consistência das características e o comportamento do usuário. O BrowserFM abrange principalmente uma vasta gama das camadas do navegador e do hardware/software. Portanto, a questão está mudando gradualmente. Antes, a pergunta era: "Minha identificação digital mudou?". Agora, uma pergunta mais precisa é: "O novo ambiente se parece com um dispositivo real e independente?". São perguntas completamente diferentes.

É especialmente importante lembrar disso ao trabalhar com verificadores de impressões digitais. O usuário altera um parâmetro, atualiza a página, vê "ID da impressão digital alterado" e conclui, satisfeito, que o site agora o considera uma pessoa diferente. Mas isso pode gerar uma falsa sensação de segurança. O hash completo muda mesmo com pequenas edições nos dados de entrada, mas a solução antifraude não precisa necessariamente usá-lo como único identificador. Ela pode armazenar e comparar separadamente os perfis de GPU, desempenho, navegador, tela e CSS, e avaliar a similaridade entre os perfis antigos e novos. A questão não é se o hash mudou, mas sim o quanto o próprio espaço de recursos se alterou.

E isso nos leva à ideia mais fundamental do BrowserFM, que é mais interessante do que qualquer número. Daqui a alguns anos, "16.000" pode parecer completamente banal — o importante é outra coisa: a impressão digital de um navegador deixa de ser um identificador e se torna um modelo de dispositivo. E um modelo, por sua própria natureza, está sujeito a mudanças. Um usuário pode trocar sua placa de vídeo, atualizar seu navegador, alterar a resolução, comprar um novo monitor ou instalar o Office. Computadores reais mudam constantemente — e uma boa solução antifraude não deve perder um usuário após cada mudança desse tipo. Ela precisa entender a natureza da mudança: distinguir a evolução natural de um sistema vivo de um ambiente montado às pressas que apenas finge ser real.

Isso levanta uma nova questão, muito mais desafiadora, para qualquer pessoa que esteja criando perfis independentes. Antes, a pergunta era "como obtenho uma nova impressão digital?". Agora, é "como construo um ambiente que se comporte como um dispositivo verdadeiramente diferente e que permaneça internamente consistente, evoluindo ao longo do tempo como um computador real faria?". Não se trata apenas de uma mudança na interface, mas de um desafio de engenharia completo.