WebAssembly Fingerprinting đối đầu trình duyệt antidetect: Vì sao WASM có thể thay đổi cuộc chơi

Canvas, WebGL, WebRTC, AudioContext, User-Agent—trong nhiều năm, các hệ thống chống gian lận và các nhà phát triển trình duyệt chống phát hiện đã chạy đua xung quanh các tham số này. Người dùng cố gắng xuất hiện như một thiết bị bình thường, hệ thống chống phát hiện so khớp các đặc điểm hiển thị trên trang web, và hệ thống chống gian lận tìm kiếm sự khác biệt. Giờ đây, cuộc đua này có một mặt trận mới, và đối với các hệ thống chống phát hiện, nó tiềm ẩn nhiều rủi ro hơn: Nhận dạng dấu vân tay WebAssembly.

Vấn đề ở đây không chỉ đơn thuần là thêm một tham số vào cài đặt hồ sơ. WASM cho phép bạn tiếp cận gần hơn với các đặc điểm của việc thực thi mã thực tế trên một thiết bị cụ thể, điều này về cơ bản làm thay đổi chính nhiệm vụ. Các công cụ chống phát hiện hiện đại—Multilogin, AdsPower, Dolphin Anty, Octo Browser, GoLogin, Kameleo, Incogniton, Linken Sphere—đã hoạt động đáng tin cậy với một số lượng lớn các tham số dấu vân tay cổ điển. Nhưng nghiên cứu độc lập cho thấy ngay cả các sản phẩm tiên tiến cũng tự bộc lộ thông qua sự kết hợp của các điểm không nhất quán, dấu vết can thiệp trình duyệt và các tín hiệu khác. WebAssembly bổ sung thêm một lớp nữa vào điều này.

WebAssembly là gì và tại sao nó lại thú vị đối với việc chống gian lận?

WebAssembly, hay WASM, là một định dạng lệnh nhị phân cấp thấp để thực thi mã trong trình duyệt. Ưu điểm chính của nó là hiệu suất cao và khả năng biên dịch mã từ C/C++ và các ngôn ngữ khác. Nói một cách đơn giản, JavaScript hoạt động ở mức độ trừu tượng khá cao, trong khi WebAssembly thực hiện các tác vụ tính toán gần giống với mã gốc hơn. Và đây là điểm khiến việc nhận dạng dấu vân tay trở nên thực sự thú vị. Một phương pháp nhận dạng dấu vân tay cổ điển thường hỏi trình duyệt, "Bạn đang nói gì với tôi về chính mình?" WASM cho phép bạn thêm câu hỏi thứ hai: "Bạn thực sự thực hiện các phép tính như thế nào?" — và việc giả mạo câu trả lời sẽ khó hơn nhiều.

Bản demo Vektor T13 sử dụng một trình kiểm tra dấu vân tay WebAssembly nhỏ gọn, chỉ gồm 447 dòng mã, được viết trên một trang duy nhất. Nó được xây dựng dựa trên sự kết hợp giữa JavaScript và WebAssembly: JS gọi một hàm WASM, WebAssembly gọi lại JavaScript, và cứ thế tiếp diễn. Kết quả là một dạng "ping-pong" tính toán—JavaScript → WASM → JavaScript → WASM—và các đặc tính hiệu năng của các thao tác này tạo ra một tập hợp các phép đo, từ đó suy ra mã định danh thiết bị; trong bản triển khai được trình bày, mã định danh này ở định dạng SHA-256.

Vì sao User-Agent gần như vô dụng ở đây

Hãy xem xét cấu hình chống phát hiện. Ở cấp độ cài đặt trình duyệt, nó báo cáo: Windows, phiên bản Chrome cần thiết, phần cứng cụ thể. Tác nhân người dùng khớp với cấu hình, Canvas có vẻ hợp lý, WebGL nhất quán, WebRTC đã được cấu hình và mọi thứ khác đều ổn. Nhưng sau đó, trang web chạy một bài kiểm tra tính toán. Và nếu các đặc điểm thực thi mã không nhất quán về mặt thống kê với môi trường đã khai báo, một lớp tín hiệu hoàn toàn khác sẽ được tạo ra.

Đó là lý do tại sao, khi áp dụng vào loại phân tích này, Vektor T13 coi phương pháp thay thế User-Agent tiêu chuẩn là một kỹ thuật thực tế đã lỗi thời. Phần mềm chống gian lận không còn phải tin tưởng vào lời kể của trình duyệt nữa — nó có thể đo lường hành vi của trình duyệt. Đây là vấn đề cốt lõi.

Điều tệ nhất: Dấu vân tay WASM có thể phụ thuộc vào phần cứng thực tế.

Hội thảo trực tuyến nhấn mạnh cụ thể sự phụ thuộc của kết quả vào tài nguyên phần cứng: mặc dù mã chạy bên trong trình duyệt, các đặc tính tính toán phụ thuộc vào môi trường mà trình duyệt thực sự hoạt động. Điều này có thể cho phép xây dựng các bộ phân loại để phân biệt giữa máy tính cá nhân thực, máy ảo, VDS/VPS và phần cứng máy chủ. Vektor T13 tập trung đặc biệt vào CPU máy chủ: các đặc tính tính toán của chúng có thể cho phép phân biệt cơ sở hạ tầng máy chủ với máy tính người dùng thông thường.

Điều quan trọng là không nên đánh giá quá cao phương pháp này. Điều này không có nghĩa là WebAssembly đưa ra lệnh như getRealCPUModel() cho JavaScript. Vấn đề ở đây là một điều khác: các đặc tính tính toán gián tiếp được thu thập, sau đó được so sánh thống kê với các hồ sơ tích lũy của các môi trường đã biết. Và công cụ chống gian lận càng thu thập được nhiều dữ liệu, phương pháp này càng trở nên hiệu quả hơn.

Tại sao điều này lại đặc biệt gây khó chịu đối với máy ảo?

Ảo hóa từ lâu đã được sử dụng để phân tách các môi trường, nhưng phương pháp mới này đưa ra một lưu ý: một máy ảo không chỉ phải sao chép các đặc điểm của một máy tính thực mà còn phải hoạt động tương tự trong quá trình tính toán. Bản demo tuyên bố rằng bài kiểm tra WASM có thể phát hiện các dấu hiệu của một môi trường ảo hóa. Tuy nhiên, chính Vektor T13 cũng đưa ra một lưu ý quan trọng: việc phát hiện máy ảo không phải là kết quả được đảm bảo — nó nêu rõ rằng nó biết cách tác động đến kết quả bằng cách phân bổ một lượng tài nguyên tối đa cho trình duyệt. Vì vậy, không có phép màu nào ở đây: việc nhận dạng dấu vân tay WASM không đảm bảo phát hiện bất kỳ máy ảo nào. Đó là một tín hiệu mới, có tính thông tin cao, có thể được kết hợp với các chỉ báo khác — và chính ở dạng này, nó đặc biệt thú vị đối với việc chống gian lận.

Điều này có ý nghĩa gì đối với Multilogin, AdsPower, Octo và các công ty khác?

Đây là nơi bắt đầu vấn đề chính của ngành. Các phương pháp chống phát hiện từ lâu đã cạnh tranh không phải ở số lượng chuyển đổi giao diện, mà ở chất lượng khớp dấu vân tay: các sản phẩm hiện đại kiểm soát hàng tá tham số, từ Canvas và WebGL/WebGPU đến AudioContext và các đặc điểm phần cứng. Nhưng WASM đặt ra một câu hỏi khác: liệu có thể buộc thực thi mã thực để khớp với danh tính tổng hợp của hồ sơ trình duyệt hay không? Và câu trả lời có thể khác nhau đối với các kiến ​​trúc khác nhau.

Multilogin theo truyền thống được coi là một trong những sản phẩm tiên tiến nhất về mặt công nghệ trong cùng loại – nó sử dụng các công cụ trình duyệt riêng. Tuy nhiên, ngay cả việc sửa đổi sâu rộng Chromium hoặc Firefox cũng không giải quyết được vấn đề đo lường phụ thuộc vào phần cứng. Nếu một hồ sơ được khai báo bởi một môi trường, nhưng chuẩn WASM liên tục cho thấy các đặc điểm của một môi trường khác, giải pháp chống gian lận sẽ nhận được một tín hiệu nhất quán bổ sung. Nhiệm vụ khi đó chuyển từ "thay thế dấu vân tay một cách chính xác" sang "tái tạo chính xác hành vi tính toán của thiết bị mà dấu vân tay này được cho là tương ứng" – một nhiệm vụ khó khăn hơn đáng kể.

Nguyên tắc tương tự cũng áp dụng cho các sản phẩm dựa trên Chromium—AdsPower, Dolphin Anty, Octo Browser, GoLogin, Incogniton, Kameleo. Bạn có thể sửa đổi Canvas, căn chỉnh WebGL và thiết lập Concurrency phần cứng, nhưng nếu hành vi được đo lường của môi trường xung đột với cấu hình đã khai báo, giải pháp chống gian lận có cơ sở để nâng cao điểm rủi ro, và càng có nhiều bài kiểm tra WASM độc lập, nhiệm vụ càng khó khăn hơn. Và đây không chỉ là những lập luận trừu tượng: một nghiên cứu độc lập về các công cụ chống phát hiện từ năm 2026 đã phát hiện AdsPower và một số đối thủ cạnh tranh sử dụng các kết hợp như tính toàn vẹn nguyên mẫu và phạm vi toàn cầu, và nghiên cứu học thuật Browser Polygraph đã kiểm tra riêng các trình duyệt đã được sửa đổi—Linken Sphere, Incogniton, GoLogin, Octo Browser, AdsPower và những trình duyệt khác—tất cả đều không sử dụng WASM. WebAssembly chỉ mở rộng thêm tập hợp các đặc điểm có sẵn. Và vấn đề không phải là bất kỳ công cụ chống phát hiện cụ thể nào là "tệ"—vấn đề nằm ở kiến ​​trúc, ảnh hưởng đến toàn bộ danh mục.

Vì sao một bài kiểm tra WASM không loại bỏ được các phần mềm chống phát hiện?

Đây là một lưu ý quan trọng. Việc chỉ chạy thử nghiệm hiệu năng và nhận được kết quả "WASM được thực thi trong 137 mili giây" không phải là một dấu hiệu tốt. Hiệu năng phụ thuộc vào rất nhiều yếu tố: tải CPU, chế độ tiết kiệm năng lượng, nhiệt độ, các tiến trình nền, bộ lập lịch của trình duyệt, số lượng tài nguyên được phân bổ và hàng tá yếu tố khác. Sức mạnh thực sự của một phương pháp không đến từ một con số duy nhất, mà đến từ một loạt các thử nghiệm khác nhau, các phép đo lặp lại, chuẩn hóa thống kê và một cơ sở lớn các thiết bị tham chiếu.

Đây chính là lý do tại sao Vektor T13 nhấn mạnh sự cần thiết phải thu thập số liệu thống kê rộng rãi. Buổi hội thảo trực tuyến tuyên bố khả năng phân biệt người dùng với tỷ lệ lỗi dưới 1%, nhưng điều này nên được xem là kết quả của phương pháp cụ thể được trình bày, chứ không phải là độ chính xác phổ quát đã được chứng minh của bất kỳ phương pháp nhận dạng dấu vân tay WASM nào trên bất kỳ trang web nào. Sự khác biệt là rất cơ bản.

JavaScript và WASM như một nguồn entropy mới

Ý tưởng đo lường nhiều hơn chỉ hiệu năng WASM thuần túy là điều đặc biệt hấp dẫn. Trong bản demo, ranh giới giữa hai môi trường liên tục được vượt qua—JS → WASM → JS → WASM—và mỗi lần chuyển đổi đều bổ sung thêm các đặc điểm thực thi mới. Các loại thao tác khác nhau, số lần lặp, thời gian chuyển đổi giữa các ngữ cảnh, đặc điểm tính toán và độ ổn định của kết quả đều có thể được đo lường. Thay vì một tham số duy nhất, toàn bộ vectơ các đặc điểm được thu được—theo quy ước, F = {t1, t2, t3, … tn}—sau khi chuẩn hóa, được so sánh với các thiết bị hoặc lớp phần cứng đã biết. Do đó, dấu vân tay WASM đầy hứa hẹn không chỉ là một hàm băm Canvas khác, mà là dấu vân tay hành vi của môi trường tính toán.

Từ Canvas Fingerprinting đến Computational Fingerprinting

Có lẽ đây là sự thay đổi chính. Thế hệ đầu tiên của việc nhận dạng dấu vân tay đặt câu hỏi: Trình duyệt báo cáo điều gì? Thế hệ tiếp theo hỏi: Trình duyệt vẽ gì? Canvas và WebGL trở thành một cách để đo lường đầu ra của ngăn xếp đồ họa; WebGPU đi sâu hơn, hướng tới GPU. WASM cho phép chúng ta đặt câu hỏi sau: Thiết bị tính toán như thế nào? Và điều này gần hơn nhiều với ý tưởng về nhận dạng dấu vân tay dựa trên tính toán. Trong một thế giới như vậy, việc một hệ thống chống phát hiện chỉ thay thế navigator.userAgent, navigator.hardwareConcurrency, WebGLRenderer, Canvas, AudioContext và hàng tá API khác là chưa đủ—tất cả các giá trị này phải nhất quán về mặt vật lý với hành vi hệ thống được quan sát.

Kiểm tra tính nhất quán ở cấp độ mới

Hãy tưởng tượng một hồ sơ: Windows 11, Chrome, Intel Core i5, một máy tính cá nhân điển hình, Canvas, WebGL và WebGPU riêng. Nhưng hồ sơ WASM cho thấy các đặc điểm tính toán điển hình về mặt thống kê của môi trường máy chủ. Chỉ riêng điều này không nhất thiết chỉ ra gian lận. Tuy nhiên, phần mềm chống gian lận hiện nay có thể kết hợp uy tín IP, dấu vân tay TLS, dấu vân tay trình duyệt, Canvas, WebGL, WebGPU, hồ sơ thực thi WASM và các tín hiệu hành vi để tạo ra một mô hình rủi ro mạnh mẽ hơn nhiều. Đây chính xác là hướng mà các hệ thống phát hiện hiện đại đang phát triển: sự kết hợp các tín hiệu mới hiệu quả, chứ không phải chỉ dựa vào một dấu vân tay "thần kỳ" duy nhất.

Còn Cybersource, PerimeterX và Microsoft thì sao?

Trong buổi hội thảo trực tuyến, Vektor T13 khẳng định rằng các công nghệ tương tự đã được sử dụng trong cơ sở hạ tầng chống gian lận của Cybersource và PerimeterX, trong đó Cybersource đang ở giai đoạn triển khai hoàn thiện hơn. Ông dẫn chứng một ví dụ khác, việc đăng ký Đối tác của Microsoft, nơi mà theo quan sát của ông, việc nhận dạng dấu vân tay WASM được sử dụng để lọc ra các đăng ký đáng ngờ, bao gồm máy ảo, VPS và máy chủ từ xa.

Cần phải thận trọng ở đây: đây chỉ là những nhận định và quan sát của tác giả hội thảo trực tuyến, chứ không phải là thông số kỹ thuật được các công ty này công khai xác nhận. Sẽ là sai lầm nếu biến chúng thành luận điểm rằng "Microsoft chắc chắn đang chặn các VPS sử dụng thuật toán này" mà không có thêm bằng chứng xác thực. Nhưng xu hướng này khá thực tế: việc phát hiện gian lận trình duyệt đã tận dụng tối đa việc phân loại môi trường đa lớp, và các nghiên cứu học thuật cho thấy các trình duyệt bị sửa đổi được phát hiện dựa trên sự kết hợp của nhiều tín hiệu.

Liệu việc sử dụng dấu vân tay WebAssembly có phá hủy được các biện pháp chống phát hiện?

Nếu hiểu từ "phá hủy" theo nghĩa đen, thì câu trả lời là không. Nhưng nó hoàn toàn có khả năng phá hủy mô hình chống phát hiện cũ, vốn chỉ coi việc thay thế cẩn thận một tập hợp các tham số dấu vân tay trình duyệt phổ biến là đủ. Và điều này còn thú vị hơn nhiều. Multilogin, AdsPower, Dolphin Anty, Octo Browser, GoLogin, Linken Sphere, Incogniton, Kameleo, MoreLogin, Undetectable, và những phần mềm khác sẽ phải xem xét không chỉ các giá trị mà trang web nhìn thấy mà còn cả việc hành vi thực tế của môi trường có khớp với các giá trị này hay không. Về cơ bản, một giai đoạn mới trong cuộc đua đã bắt đầu: giả mạo dấu vân tay → tính nhất quán của dấu vân tay → tính nhất quán của phần cứng và tính toán.

Canvas có thể được thay đổi. User-Agent có thể được viết lại. WebGL có thể được hài hòa. Nhưng việc làm cho một máy tính hoạt động về mặt tính toán giống như một máy tính khác là một nhiệm vụ hoàn toàn khác biệt. Do đó, WebAssembly Fingerprinting không nên được xem như một mục khác trong mạng lưới chống gian lận rộng lớn, mà là một bước chuyển đổi tiềm năng từ "những gì trình duyệt tự nói về mình" sang "những gì trình duyệt thực sự là". Và nếu các hệ thống chống gian lận thu thập được các tập dữ liệu đủ lớn về các thiết bị thực, máy ảo, CPU máy chủ và các công cụ trình duyệt khác nhau, thì chính sự khác biệt này có thể trở thành một trong những thách thức chính đối với ngành công nghiệp chống phát hiện trong những năm tới.

Bạn muốn là người đầu tiên nhận được những phân tích và nghiên cứu mới nhất? Hãy đăng ký Detect Expert và đăng ký nhận thông tin – tất cả các bài viết và nghiên cứu mới sẽ được gửi đến hộp thư của bạn. Suy cho cùng, kiến ​​thức chính là cách chống phát hiện tốt nhất hiện nay!