WebGPU: новий інструмент антифроду, який уже змінює правила гри

Ще кілька років тому розмова про браузерний фінгерпринтінг зводилася до знайомого набору: Canvas, WebGL, AudioContext та десятки інших відбитків, якими сайт намагався впізнати пристрій. Сьогодні цей список стрімко застаріває. На передній план виходить WebGPU - новий графічний API, який відкриває веб-додатків майже прямий доступ до обчислювальних потужностей відеокарти. І саме навколо нього вибудовується нове покоління методів, що дозволяють відрізнити живого користувача від віртуальної машини, VPS, віддаленого сервера чи антидетект-браузера.

Розберемося, чому технологія, задумана для ігор та 3D-графіки, опинилася в центрі уваги фахівців боротьби з фродом — і чому звичні способи заміни відбитків проти неї вже не працюють.

Чому WebGL поступається місцем

Довгі роки саме WebGL був основним мостом між браузером та графікою. Через нього сайт міг визначити модель відеокарти, зняти графічний відбиток пристрою, прогнати серію візуальних тестів та використати результат для ідентифікації. Проблема в тому, що розвиток WebGL фактично зупинився: організація Khronos Group, яка стояла за стандартом, прямо заявила, що активно розвивати технологію більше не збирається. Архітектура API застаріла, а її можливостей вже не вистачає під запити сучасного Інтернету.

Місце WebGL займає WebGPU. Якщо усунути технічні деталі, суть проста: він дозволяє браузеру працювати з відеокартою майже так само ефективно, як це роблять повноцінні настільні програми. Це означає набагато швидший і глибший доступ до самого GPU, відеопам'яті, обчислювальних ядр і сучасних графічних можливостей. Звідси і репутація WebGPU, як однієї з ключових технологій майбутнього Інтернету.

Не лише для розробників

Можливості, що відкриває WebGPU, вражають. Браузерні AAA-ігри, професійна 3D-графіка, обробка зображень, машинне навчання прямо у вкладці, повноцінне використання GPU без встановлення нативного софту - все це стає реальністю. Але медаль має зворотний бік.

Той самий рівень доступу, за словами Дмитра Момота, за бажання можна спрямувати і на шкоду: запускати важкі обчислення на чужому залозі, виконувати шкідливий код, проводити GPU-орієнтовані атаки або просто експлуатувати обчислювальні ресурси користувача. Тому WebGPU цікавить не тільки творців браузерів та ігор, а й тих, хто займається безпекою, причому по обидва боки барикад.

Що сайт бачить насправді і чому цього мало

Тут починається найцікавіше. Розробники Chrome помітно обмежили обсяг даних, які WebGPU надає сайтам. Якщо раніше можна було витягнути докладну інформацію про відеокарту, то сьогодні у розпорядженні сайту залишаються, по суті, три речі: факт підтримки WebGPU, виробник GPU та архітектура пристрою. Детальні апаратні ідентифікатори браузер вже ховає. Здавалося б, класичного фінгерпринтінга завдано удару — але проблема цим зовсім не вирішується.

Головна теза вебінару звучить несподівано: сама собою підтримка WebGPU антифрод майже не цікавить. Багато хто впевнений, якщо сайт перевіряє наявність WebGPU, то саме по ньому і обчислює віртуальну машину. На практиці прапор WebGPU Supported не говорить майже ні про що. Його можна включити вручну, поміняти в налаштуваннях браузера, семулювати або підмінити десятком способів - а значить, як самостійна ознака він практично марний.

Більше того, наївна логіка «немає WebGPU — отже, віртуалка» призводить до хибних спрацьовувань. Стара відеокарта може не підтримувати DirectX 12; браузер сам відключає WebGPU на залізі, що не підтримується; багато залежить від драйвера та конкретної моделі GPU. В результаті звичайний користувач зі старим комп'ютером легко отримує ярлик власника віртуальної машини. Деякі популярні сервіси перевірки відбитків саме так і роблять — і тому їх вердикт не можна вважати надійним.

Що ж насправді визначає, чи буде доступним WebGPU? За матеріалами вебінару, браузер приймає рішення, спираючись відразу на кілька факторів: підтримку DirectX 12, версію драйверної моделі WDDM, можливості відеокарти і внутрішні політики Chrome. Саме тому одна й та ж версія браузера на двох різних машинах може поводитися по-різному. А раз сам факт підтримки так легко підробити через реєстр Windows, заміну властивостей браузера, правку відповідей JavaScript API або спеціальні інструменти, сучасні антифрод-системи давно перестали на нього покладатися.

Справжня сила – у бенчмарку

Якщо наявність WebGPU майже нічого не варте, то де ж криється його цінність для антифроду? Відповідь - у продуктивному бенчмарку. WebGPU дозволяє запустити справді важкі обчислення прямо на відеокарті користувача і під час такого тесту виміряти швидкість обробки, реальну продуктивність GPU та особливості його архітектури. Саме результат цих обчислень і стає новим, набагато надійнішим відбитком.

Різниця з WebGL важлива. Графічні тести вмів проводити і він, але різницю між сучасними відеокартами там були змазаними і малопомітними. WebGPU отримує набагато глибший доступ до ресурсів GPU, тому оцінка продуктивності виходить значно точніше. За словами автора вебінару, накопиченої статистики вже достатньо, щоб упевнено розрізняти різні покоління відеокарт. Саме це робить технологію таким привабливим інструментом.

Добре реалізований WebGPU-бенчмарк розкриває цілий спектр невідповідностей: використання антидетект-браузерів, VPS, віддалених робочих столів та виділених серверів, а головне – розбіжність між заявленою відеокартою та її реальною продуктивністю. Уявіть: браузер повідомляє, що в системі стоїть RTX 4090, а обчислювальна потужність відповідає вбудованій Intel Graphics. Таке протиріччя впадає у вічі практично миттєво.

Звідси випливає важливий висновок для тих, хто намагається маскувати своє оточення. Раніше вистачало підмінити рядок під назвою відеокарти — і відбиток виглядав переконливо. Тепер цього замало. Якщо браузер декларує одну модель, а продуктивність видає зовсім іншу архітектуру, виникає та суперечність, яку антифрод цінує найвище. Проста заміна моделі GPU перестає працювати.

Чи можна помітити, що тебе перевіряють

Виникає закономірне питання: а чи можна зрозуміти, що сайт зараз проганяє WebGPU-бенчмарк? На думку Дмитра Момота, так, і є два основні підходи.

Перший – стежити за навантаженням на відеокарту. Тяжкий бенчмарк створює помітне навантаження на GPU, і особливо добре це видно на слабких вбудованих чіпах: варто відкрити моніторинг завантаження відеокарти, як на графіку з'являються характерні сплески активності. Легкі тести можуть проходити майже безслідно.

Другий підхід – заглянути в код сторінки. Звернення JavaScript до navigator.gpu — сильна ознака того, що йде WebGPU. Щоправда, тут варто пам'ятати обфускацію: код цілком можуть заплутати, щоб приховати подібні виклики.

Звідси — практична порада з вебінару, який звучить спочатку парадоксально. На потужній RTX 4090 навіть дуже важкий тест може пройти майже непомітно, а ось скромна вбудована графіка відгукується на навантаження набагато яскравіше. Тому для аналізу поведінки сайтів, що використовують WebGPU-бенчмарк, слабке залізо іноді виявляється зручнішим за топовий.

Що це означає

WebGPU на очах перетворюється на одне з найцікавіших джерел даних для сучасних антифрод-систем. Але ключовий урок в іншому: цінна не наявність технології, а поведінка заліза. Сам прапор підтримки майже нічого не означає і легко емулюється - справжню силу дає можливість запустити продуктивні обчислення та зіставити заявлені характеристики пристрою з тим, як він поводиться в реальності.

Саме це зсув відкриває нові способи виявлення антидетект-браузерів, підроблених GPU-відбитків, віртуальних машин, VPS та віддалених серверів, а також будь-яких розбіжностей між декларованою та фактичною продуктивністю обладнання. І чим ширше поширюється WebGPU, тим очевиднішим є загальний вектор: на перший план виходять обчислювальні характеристики пристрою, а не рядок User-Agent або красиво підставлена ​​назва відеокарти.

Для фахівців з інформаційної безпеки це зміну парадигми — поступовий перехід від аналізу статичних відбитків до аналізу реального поведінки апаратного забезпечення. І, зважаючи на все, це лише початок.