WebAssembly-фингерпринт: как браузер превращается в виртуальную машину и начинает узнавать пользователя

Технология, о которой почти никто не говорит

Иногда самые заметные перемены в интернете начинаются тихо. Пока все заняты войнами вокруг блокировки JavaScript и «правильных» настроек приватности, в браузере уже несколько лет живёт инструмент, который сдвигает границы возможного. Это WebAssembly (Wasm): способ гонять в вебе код почти с нативной скоростью.

Я называю Wasm «новым зверем» веба не ради красивой метафоры. С ним у сайта появляется новый класс возможностей, включая то, о чём обычно не любят говорить вслух: новые способы узнавать пользователя.

Почему JavaScript перестал быть главным подозреваемым

Долгое время JavaScript был удобной мишенью. На нём держатся десятки механизмов трекинга и идентификации, поэтому в Tor Browser по умолчанию режут скрипты, а NoScript и похожие расширения стали символом «жёсткой приватности».

Проблема в том, что Wasm меняет баланс. Он не отменяет JavaScript, но делает браузер заметно более «вычислительным». Старые представления о «безопасном браузере» начинают трещать, потому что часть измерений теперь уходит в область, где простые запреты не работают так, как вы привыкли.

Что такое WebAssembly и почему он важен

WebAssembly — это формат и среда выполнения, которые позволяют запускать в браузере код, скомпилированный из C, C++, Rust и других языков. Если проще, сайт получает доступ к более низкоуровневым вычислениям, чем типичный JavaScript.

Отсюда и моя любимая формулировка: браузер получает шанс стать «мини-компьютером внутри компьютера». В пределе это ощущается как «почти обычная программа» в окне вкладки: кошельки, мессенджеры, сложные антифрод-агенты. Да, сравнения с VirtualBox звучат провокационно. Но смысл простой: браузер становится ближе к железу.

Новый отпечаток: когда скорость становится идентификатором

Самое интересное начинается там, где Wasm используют не ради удобства, а ради фингерпринтинга.

Когда я говорю про «огромное количество отпечатков» через WebAssembly, я не имею в виду старые добрые Canvas или WebGL, которые многие уже научились искажать. Здесь в игру входит то, что вы обычно воспринимаете как «просто быстродействие»: производительность и характер выполнения.

Схема выглядит почти смешно из-за своей простоты:

• JavaScript вызывает функции WebAssembly.
• WebAssembly вызывает JavaScript обратно.
• Этот «пинг-понг» повторяется много раз.
• Вы меряете, как именно и насколько быстро выполняются одинаковые операции.

Дальше вы превращаете статистику в компактный идентификатор. В практической реализации это легко упаковывается, например, в SHA-256.

Точность, которая пугает

Если собрать всё аккуратно, такой подход способен различать пользователей с погрешностью менее 1%.

Поэтому «подмена user-agent» в этой картине мира выглядит косметикой. Когда движок и аппаратная база читаются через поведение вычислений, строка в заголовке запроса мало что меняет.

На практике подобные тесты умеют:

• выявлять использование виртуальной машины,
• отличать VPS и серверное железо от домашнего ПК,
• подсвечивать различия в типах CPU и характере вычислений.

Важно: обход возможен. Но чаще всего это уже не про «поставил расширение и забыл», а про инженерное понимание и тонкую настройку ресурсов. Для массового пользователя это, как правило, недоступно.

Где это уже используют

Это перестаёт быть «экспериментом» ровно в тот момент, когда начинают всплывать конкретные имена.

То, что я вижу, уже появляется в арсенале крупных антифрод-платформ, включая:

• CyberSource
• PerimeterX

Также есть признаки того, что Microsoft был среди первых, кто начал внедрять Wasm-фингерпринтинг на своих ресурсах, в том числе для фильтрации регистраций, которые выглядят как автоматизация или идут из виртуализированной среды.

Почему это станет «топовым» отпечатком

Причина банальная и неприятная:

• высокая точность,
• относительная лёгкость запуска в браузере,
• привязка к реальным аппаратным особенностям.

Если сайты массово начнут собирать такую телеметрию, это быстро станет стандартом идентификации, который сложно игнорировать. И ждать «когда-нибудь потом» не нужно: Wasm уже давно в браузерах и уже используется.

Что из этого следует

Если свести всё к одной мысли, то она такая: приватность в браузере всё меньше зависит от выключенных галочек и всё больше — от того, как ведёт себя железо под нагрузкой.

WebAssembly придумывали как ускоритель веба. На практике он стал ещё и ускорителем для антифрод-систем, которым нужно отличать людей от ботов и реальные устройства от виртуализированных сред.

Поэтому Wasm-фингерпринтинг — не очередная «страшилка», а тема, которую стоит понимать хотя бы на уровне принципов. Дальше вы будете встречать это всё чаще, особенно там, где ставки высоки: финансы, крупные платформы, регистрации и защита от злоупотреблений.