Canvas Picasso: como os sistemas antifraude modernos identificam a substituição de dispositivos e o ruído de renderização.

Os modernos sistemas antifraude utilizam dezenas de canais de telemetria de sinal, incluindo a renderização em canvas.

Enquanto anteriormente os métodos dependiam da identificação estática do canvas, hoje as principais plataformas estão a migrar para protocolos dinâmicos de última geração, como o Picasso.

Neste artigo, explicaremos como funciona o desafio dinâmico do ecrã de Picasso, como os sistemas antifraude detetam a falsificação de renderização e o ruído, e porque é que este mecanismo se tornou o padrão na antifraude.

Porque é que os métodos de canvas estático estão obsoletos

A identificação clássica do canvas funciona da seguinte forma: uma página renderiza uma imagem pré-preparada (texto, formas e outros elementos) e, em seguida, calcula o hash da matriz de pixels. Abordámos este assunto em nosso artigo anterior. Devido às especificidades da pilha gráfica, diferentes dispositivos produzem resultados diferentes. Mas hoje em dia, isto é quase inútil para fins antifraude porque: as ferramentas anti-deteção podem substituir o canvas em tempo real, os plugins adicionam ruído, tornando as impressões digitais únicas, e os bots podem emular imagens estáticas. Por conseguinte, os sistemas antifraude utilizam cada vez mais a renderização dinâmica de canvas.

Picasso: Desafio do Canvas Dinâmico.

Picasso não é uma impressão digital, mas um procedimento de desafio, semelhante a um problema criptográfico, onde cada execução é única.

Num método de canvas estático, a mesma imagem é sempre desenhada.

Em Picasso, cada execução cria uma nova imagem única, composta por várias etapas.

Num canvas estático, não existe semente (o número inicial para gerar a imagem) — a imagem é sempre a mesma.

Em Picasso, o servidor emite uma nova semente de cada vez, tornando cada desafio diferente.

Num canvas estático, o resultado é sempre o mesmo; pode simplesmente memorizá-lo e falsificá-lo.

Em Picasso, o resultado é diferente de cada vez porque depende da semente e de um conjunto de ações.

Um ecrã estático tenta identificar um dispositivo específico (como uma impressão digital do dispositivo).

O Picasso verifica se o dispositivo está a renderizar os gráficos corretamente — se corresponde ao dispositivo que afirma ser.

Um ecrã estático pode ser facilmente falsificado ou modificado usando extensões, mecanismos antifraude e emuladores.

O Picasso é praticamente impossível de falsificar; é dinâmico, novo de cada vez, e o servidor sabe qual é o resultado esperado para cada dispositivo.

Como funciona o ecrã do Picasso:

O servidor envia parâmetros de desafio O servidor gera: • tamanho do ecrã, • número de rondas N, • semente (valor inicial do gerador de números pseudo-aleatórios), • um conjunto de parâmetros (tipos de letra, sombras, esquemas de cores).

Estes parâmetros dependem da política antifraude e são utilizados apenas uma vez.

O cliente renderiza a "pintura" deterministicamente O código é executado no dispositivo e: • inicializa um gerador de números pseudo-aleatórios com base na semente; • Seleciona aleatoriamente o que desenhar (arcos, texto, formas, gradientes, emojis); • Aplica transformações e sombras;

• Repete o processo N vezes.

Cada dispositivo gera a mesma sequência de formas, mas desenha-as de forma diferente porque: • as GPUs são diferentes, • as camadas de renderização são unidas de forma diferente em cada dispositivo, • os algoritmos de suavização do serrilhado são diferentes, • a renderização de tipos de letra é diferente, • o arredondamento de ponto flutuante funciona de forma diferente.

O cliente envia um hash do resultado No final do ecrã, um hash é calculado; não se trata de uma impressão digital, mas sim do resultado do teste de renderização.

O servidor compara o resultado com o perfil do dispositivo O servidor não compara o hash para verificar a igualdade. Isto é impossível, uma vez que a semente é nova de cada vez. Compara a distribuição do hash com base nos seus atributos (cluster Safari do iPhone, cluster Chrome do Android, cluster Chrome Desktop).

** #### Como o sistema antifraude analisa os resultados do ecrã do Picasso

O sistema antifraude sabe como deve ser a imagem para cada classe de dispositivo com uma determinada semente, com base num grande número de resultados de renderização de referência pré-recolhidos. O servidor analisa o hash indiretamente, em vez de diretamente.

Conhecendo a semente e a ordem das formas, o servidor sabe o resultado esperado. O servidor compara o hash real com um conjunto de hashes esperados para uma pilha específica (browser + SO + GPU). Se o hash não corresponder ao conjunto, o sistema antifraude tira as conclusões adequadas.

Qualquer tentativa de adulterar o ecrã resulta numa saída anómala. Plugins como o CanvasBlocker adicionam ruído pseudo-aleatório uniforme e não correlacionado, ao contrário da renderização física da GPU, o que altera significativamente o hash do resultado da renderização. Nos emuladores, o corretor gama, o antisserrilhamento subpixel e os artefactos de gradiente diferem dos presentes nos GPUs reais.

Exemplo de utilização da tela Picasso.

Na página do captcha, o site Yandex utiliza o ecrã Picasso, e mais do que um. O browser do utilizador está encarregue de renderizar quatro ecrãs Picasso de 300x300 px e um ecrã estático de 240x140 px.

Neste exemplo, o sistema antifraude combina ecrãs estáticos e dinâmicos.

Nesta arquitetura, um ecrã estático pode ser utilizado para formar um cluster de dispositivos mais preciso e robusto, enquanto os resultados dos desafios de ecrã dinâmico são analisados ​​dentro desse cluster.

Com esta abordagem, tentar falsificar a saída de um ecrã estático num navegador anti-deteção é inútil: o dispositivo ainda será classificado incorretamente e as verificações dinâmicas revelarão discrepâncias entre a pilha declarada e a renderização real.

O DataDome também utiliza um ecrã dinâmico como o Picasso. Uma vez que o PayPal está oficialmente listado entre os clientes DataDome, este mecanismo também está incluído na proteção executada nos serviços PayPal.

Note-se que, neste caso, o sistema regista os resultados da renderização após cada ronda do Picasso e, ao compará-los, consegue identificar ruídos característicos, bem como tentativas de falsificar ou distorcer os dados de saída.

Conclusões:

O ecrã dinâmico do Picasso tornou-se uma ferramenta fundamental no controlo antifraude moderno, pois verifica não só valores falsificáveis, mas também o comportamento da própria pilha gráfica. Ao contrário das impressões digitais estáticas clássicas, o Picasso não pode ser simplesmente falsificado, guardado ou reproduzido — cada desafio é único e o resultado final depende das características reais do GPU, do navegador e do sistema operativo.

É por isso que as grandes empresas e plataformas anti-bot estão a adotar estes métodos. Não só permitem uma identificação mais precisa de dispositivos reais, como também detetam quaisquer tentativas de interferir com a renderização.