WebGPU: a nova ferramenta antifraude que já está mudando as regras do jogo

Há poucos anos, as discussões sobre a identificação de navegadores se resumiam a um conjunto familiar de critérios: Canvas, WebGL, AudioContext e dezenas de outras características usadas por um site para identificar um dispositivo. Hoje, essa lista está se tornando rapidamente obsoleta. O WebGPU, uma nova API gráfica que oferece aos aplicativos da web acesso quase direto ao poder de processamento de uma placa de vídeo, está ganhando destaque. E é em torno dessa API que uma nova geração de métodos está sendo construída para distinguir um usuário real de uma máquina virtual, VPS, servidor remoto ou navegador com recursos de anti-detecção.

Vamos explorar por que uma tecnologia projetada para jogos e gráficos 3D se tornou o foco de especialistas em antifraude — e por que os métodos tradicionais de substituição de impressões digitais não funcionam mais contra ela.

Por que o WebGL está perdendo espaço?

Durante muitos anos, o WebGL foi a principal ponte entre o navegador e os gráficos. Ele permitia que um site determinasse o modelo da placa gráfica, capturasse uma impressão digital gráfica do dispositivo, executasse uma série de testes visuais e usasse os resultados para identificação. O problema é que o desenvolvimento do WebGL praticamente estagnou: o Khronos Group, organização responsável pelo padrão, declarou explicitamente que não pretende mais desenvolver ativamente a tecnologia. A arquitetura da API está desatualizada e suas capacidades não são mais suficientes para as necessidades da web moderna.

O WebGL está sendo substituído pelo WebGPU. Deixando de lado os detalhes técnicos, a essência é simples: ele permite que o navegador trabalhe com a placa gráfica quase tão eficientemente quanto aplicativos de desktop completos. Isso significa acesso muito mais rápido e profundo à própria GPU, à memória de vídeo, aos núcleos de processamento e aos recursos gráficos modernos. Daí a reputação do WebGPU como uma das principais tecnologias do futuro da web.

Não apenas para desenvolvedores

As possibilidades abertas pelo WebGPU são impressionantes. Jogos AAA baseados em navegador, gráficos 3D profissionais, processamento de imagens, aprendizado de máquina diretamente na aba e utilização total da GPU sem a necessidade de instalar software nativo — tudo isso está se tornando realidade. Mas há um lado negativo.

Segundo Dmitry Momot, esse mesmo nível de acesso pode ser usado para fins maliciosos: executar cálculos complexos no hardware de terceiros, executar código malicioso, realizar ataques baseados em GPU ou simplesmente explorar os recursos computacionais do usuário. Portanto, o WebGPU interessa não apenas a desenvolvedores de navegadores e jogos, mas também a profissionais de segurança — de ambos os lados.

O que o site realmente vê — e por que isso não é suficiente.

É aqui que as coisas ficam interessantes. Os desenvolvedores do Chrome limitaram significativamente a quantidade de dados que o WebGPU fornece aos sites. Embora antes fosse possível extrair informações bastante detalhadas sobre uma placa de vídeo, hoje um site está essencialmente limitado a três coisas: suporte a WebGPU, fabricante da GPU e arquitetura do dispositivo. O navegador já oculta identificadores de hardware detalhados. Parece que a coleta de dados por impressão digital clássica sofreu um revés, mas isso não resolve o problema por completo.

O ponto principal do webinar é surpreendente: o software antifraude, em geral, não se interessa pelo suporte a WebGPU em si. Muitos acreditam que, se um site verifica o suporte a WebGPU, isso identifica a máquina virtual. Na prática, o indicador "WebGPU suportado" não significa quase nada. Ele pode ser ativado manualmente, alterado nas configurações do navegador, emulado ou falsificado de diversas maneiras — o que significa que, como indicador isolado, é praticamente inútil.

Além disso, a lógica ingênua de "sem WebGPU significa que é uma máquina virtual" leva a inúmeros falsos positivos. Uma placa de vídeo antiga pode não suportar DirectX 12; o navegador desativa automaticamente o WebGPU em hardware incompatível; muito depende do driver e do modelo específico da GPU. Como resultado, um usuário comum com um computador antigo pode ser facilmente rotulado como proprietário de uma máquina virtual. Alguns serviços populares de verificação de impressões digitais fazem exatamente isso — e é por isso que seus veredictos não podem ser considerados confiáveis.

Então, o que realmente determina se o WebGPU está disponível? De acordo com o webinar, o navegador toma essa decisão com base em diversos fatores: suporte ao DirectX 12, a versão do driver WDDM, os recursos da própria placa de vídeo e as políticas internas do Chrome. É por isso que a mesma versão do navegador pode se comportar de maneira completamente diferente em duas máquinas diferentes. E como o suporte em si é tão facilmente falsificado — por meio do registro do Windows, falsificando propriedades do navegador, editando respostas da API JavaScript ou usando ferramentas especiais — os sistemas antifraude modernos há muito tempo deixaram de depender dele.

O verdadeiro poder está no benchmark.

Se uma WebGPU custa praticamente nada, onde reside seu valor para o combate à fraude? A resposta está em seu desempenho. Uma WebGPU permite que cálculos realmente intensivos sejam executados diretamente na placa de vídeo do usuário e, durante esse teste, a velocidade de processamento, o desempenho real da GPU e as especificidades de sua arquitetura podem ser medidos. O resultado desses cálculos se torna uma nova impressão digital, muito mais confiável.

A diferença em relação ao WebGL é fundamental. Ele também conseguia executar testes gráficos, mas as diferenças entre as placas gráficas modernas eram tênues e quase imperceptíveis. O WebGPU tem acesso muito mais profundo aos recursos da GPU, portanto, as avaliações de desempenho são significativamente mais precisas. De acordo com o autor do webinar, as estatísticas acumuladas já são suficientes para distinguir com segurança entre diferentes gerações de placas gráficas. É justamente isso que torna a tecnologia uma ferramenta tão atraente.

Um benchmark WebGPU bem implementado revela uma ampla gama de inconsistências: o uso de navegadores com mecanismos anti-detecção, VPS, desktops remotos e servidores dedicados e, principalmente, a discrepância entre a placa de vídeo anunciada e seu desempenho real. Imagine: o navegador informa que o sistema possui uma RTX 4090, mas o poder de processamento corresponde ao da placa de vídeo integrada da Intel. Essa discrepância é imediatamente perceptível.

Isso leva a uma conclusão importante para quem tenta mascarar o ambiente ao seu redor. Antes, bastava substituir o nome da GPU para que a "impressão digital" parecesse convincente. Agora, isso não basta. Se o navegador declara um modelo, mas o desempenho revela uma arquitetura completamente diferente, isso cria a contradição que os softwares antifraude mais valorizam. Simplesmente substituir o modelo da GPU não funciona mais.

Você consegue perceber quando está sendo revistado(a)?

Uma pergunta lógica surge: é possível saber se um site está executando um benchmark WebGPU neste momento? De acordo com Dmitry Momot, sim, e existem duas abordagens principais.

A primeira coisa a fazer é monitorar a carga da placa gráfica. Um benchmark pesado impõe uma carga considerável na GPU, e isso é especialmente perceptível em chips integrados mais fracos: assim que você abre o monitor de carga da placa gráfica, picos característicos de atividade aparecem no gráfico. Testes mais leves, por outro lado, podem ser executados quase sem deixar vestígios.

A segunda abordagem consiste em analisar o código da página. Uma chamada JavaScript para `navigator.gpu` é um forte indício de que a WebGPU está em uso. No entanto, é importante estar atento à ofuscação: o código pode ser facilmente ofuscado para ocultar essas chamadas.

Daí a recomendação prática do webinar, que à primeira vista parece paradoxal. Mesmo um teste muito exigente pode passar quase despercebido em uma potente RTX 4090, enquanto placas gráficas integradas mais modestas reagem de forma muito mais drástica à carga. Portanto, ao analisar o desempenho de sites usando benchmarks WebGPU, um hardware menos potente às vezes é mais conveniente do que um hardware de ponta.

O que isso significa

A WebGPU está se tornando rapidamente uma das fontes de dados mais interessantes para sistemas antifraude modernos. Mas a principal lição é esta: não é a tecnologia em si que é valiosa, mas sim o comportamento do hardware. O indicador de suporte em si não significa quase nada e é facilmente emulado — o verdadeiro poder reside na capacidade de executar cálculos complexos e comparar as especificações declaradas do dispositivo com seu comportamento no mundo real.

Essa mudança abre novas maneiras de detectar navegadores que burlam a detecção, impressões digitais falsas de GPUs, máquinas virtuais, VPS e servidores remotos, bem como quaisquer discrepâncias entre o desempenho declarado e o real do hardware. E quanto mais difundido o WebGPU se torna, mais óbvia fica a tendência geral: as características de computação do dispositivo estão se tornando mais importantes do que a string do User Agent ou um nome sofisticado de placa de vídeo.

Para os especialistas em segurança da informação, isso representa uma mudança de paradigma — uma transição gradual da análise de impressões digitais estáticas para a análise do comportamento real do hardware. E, aparentemente, isso é apenas o começo.