WebGPU: công cụ chống gian lận mới đang thay đổi cuộc chơi

Chỉ vài năm trước, các cuộc thảo luận về nhận dạng dấu vân tay trình duyệt xoay quanh một tập hợp các tiêu chí quen thuộc: Canvas, WebGL, AudioContext và hàng tá dấu vân tay khác được một trang web sử dụng để xác định thiết bị. Ngày nay, danh sách này đang nhanh chóng trở nên lỗi thời. WebGPU, một API đồ họa mới cung cấp cho các ứng dụng web quyền truy cập gần như trực tiếp vào sức mạnh tính toán của card đồ họa, đang nổi lên. Và chính xung quanh API này mà một thế hệ phương pháp mới đang được xây dựng để phân biệt người dùng thực với máy ảo, VPS, máy chủ từ xa hoặc trình duyệt chống phát hiện.

Hãy cùng tìm hiểu lý do tại sao một công nghệ được thiết kế cho game và đồ họa 3D lại trở thành tâm điểm chú ý của các chuyên gia chống gian lận—và tại sao các phương pháp thay thế dấu vân tay truyền thống không còn hiệu quả đối với nó.

Vì sao WebGL đang dần bị thay thế?

Trong nhiều năm, WebGL là cầu nối chính giữa trình duyệt và đồ họa. Nó cho phép một trang web xác định kiểu card đồ họa, thu thập dấu vân tay đồ họa của thiết bị, chạy một loạt các bài kiểm tra hình ảnh và sử dụng kết quả để nhận dạng. Vấn đề là quá trình phát triển của WebGL đã bị đình trệ: Nhóm Khronos, tổ chức đứng sau tiêu chuẩn này, đã tuyên bố rõ ràng rằng họ không còn ý định tích cực phát triển công nghệ này nữa. Kiến trúc API đã lỗi thời và khả năng của nó không còn đủ đáp ứng nhu cầu của web hiện đại.

WebGL đang được thay thế bằng WebGPU. Bỏ qua các chi tiết kỹ thuật, bản chất rất đơn giản: nó cho phép trình duyệt hoạt động với card đồ họa hiệu quả gần như tương đương với các ứng dụng máy tính để bàn đầy đủ chức năng. Điều này có nghĩa là truy cập nhanh hơn và sâu hơn vào chính GPU, bộ nhớ video, lõi xử lý và khả năng đồ họa hiện đại. Do đó, WebGPU được coi là một trong những công nghệ chủ chốt của tương lai web.

Không chỉ dành cho các nhà phát triển

Những khả năng mà WebGPU mở ra thật ấn tượng. Các trò chơi AAA dựa trên trình duyệt, đồ họa 3D chuyên nghiệp, xử lý hình ảnh, học máy ngay trong tab và tận dụng tối đa GPU mà không cần cài đặt phần mềm gốc—tất cả những điều này đang trở thành hiện thực. Nhưng cũng có mặt trái.

Theo Dmitry Momot, mức độ truy cập tương tự này có thể được sử dụng cho các mục đích xấu: để chạy các phép tính phức tạp trên phần cứng của người khác, thực thi mã độc hại, tiến hành các cuộc tấn công dựa trên GPU, hoặc đơn giản là khai thác tài nguyên máy tính của người dùng. Do đó, WebGPU không chỉ thu hút sự quan tâm của các nhà phát triển trình duyệt và trò chơi, mà còn cả những người tham gia vào lĩnh vực bảo mật—ở cả hai phía.

Những gì trang web thực sự nhìn thấy—và tại sao điều đó vẫn chưa đủ

Đây là lúc mọi chuyện trở nên thú vị. Các nhà phát triển Chrome đã hạn chế đáng kể lượng dữ liệu mà WebGPU cung cấp cho các trang web. Trước đây, người ta có thể trích xuất thông tin khá chi tiết về card đồ họa, nhưng hiện nay, một trang web về cơ bản chỉ được cung cấp ba thông tin: hỗ trợ WebGPU, nhà sản xuất GPU và kiến ​​trúc thiết bị. Trình duyệt đã và đang ẩn đi các thông tin nhận dạng phần cứng chi tiết. Có vẻ như phương pháp nhận dạng dấu vân tay truyền thống đã bị giáng một đòn, nhưng điều này không giải quyết được vấn đề.

Điểm chính của hội thảo trực tuyến khá bất ngờ: phần mềm chống gian lận hầu như không quan tâm đến việc hỗ trợ WebGPU. Nhiều người tin rằng nếu một trang web kiểm tra hỗ trợ WebGPU, thì đó chính là trang web xác định máy ảo. Trên thực tế, cờ "WebGPU Supported" hầu như không có ý nghĩa gì. Nó có thể được bật thủ công, thay đổi trong cài đặt trình duyệt, mô phỏng hoặc giả mạo bằng hàng tá cách khác nhau — nghĩa là, với tư cách là một chỉ báo độc lập, nó gần như vô dụng.

Hơn nữa, lối suy luận đơn giản "không có WebGPU nghĩa là đó là máy ảo" dẫn đến nhiều kết quả sai lệch. Một card đồ họa cũ có thể không hỗ trợ DirectX 12; trình duyệt tự động vô hiệu hóa WebGPU trên phần cứng không được hỗ trợ; nhiều yếu tố phụ thuộc vào trình điều khiển và kiểu GPU cụ thể. Kết quả là, một người dùng thông thường với một máy tính cũ có thể dễ dàng bị gắn nhãn là chủ sở hữu của một máy ảo. Một số dịch vụ xác minh dấu vân tay phổ biến làm chính xác điều này - và đó là lý do tại sao kết luận của chúng không thể được coi là đáng tin cậy.

Vậy điều gì thực sự quyết định liệu WebGPU có khả dụng hay không? Theo hội thảo trực tuyến, trình duyệt đưa ra quyết định dựa trên một số yếu tố: hỗ trợ DirectX 12, phiên bản mô hình trình điều khiển WDDM, khả năng của chính card đồ họa và các chính sách nội bộ của Chrome. Đó là lý do tại sao cùng một phiên bản trình duyệt có thể hoạt động hoàn toàn khác nhau trên hai máy khác nhau. Và vì bản thân việc hỗ trợ này rất dễ bị giả mạo—thông qua registry của Windows, bằng cách giả mạo thuộc tính trình duyệt, bằng cách chỉnh sửa phản hồi API JavaScript hoặc bằng các công cụ đặc biệt—nên các hệ thống chống gian lận hiện đại từ lâu đã không còn dựa vào nó nữa.

Sức mạnh thực sự nằm ở tiêu chuẩn.

Nếu WebGPU có giá gần như bằng không, vậy giá trị của nó trong việc chống gian lận nằm ở đâu? Câu trả lời nằm ở khả năng đo hiệu năng. WebGPU cho phép thực hiện các phép tính cực kỳ phức tạp trực tiếp trên card đồ họa của người dùng, và trong quá trình kiểm tra này, tốc độ xử lý, hiệu năng thực tế của GPU và các thông số kỹ thuật của kiến ​​trúc GPU có thể được đo lường. Kết quả của các phép tính này trở thành một dấu vân tay mới, đáng tin cậy hơn nhiều.

Sự khác biệt với WebGL là rất cơ bản. WebGL cũng có thể chạy các bài kiểm tra đồ họa, nhưng sự khác biệt giữa các card đồ họa hiện đại bị mờ nhạt và hầu như không thể nhận thấy. WebGPU có quyền truy cập sâu hơn nhiều vào tài nguyên GPU, do đó việc đánh giá hiệu năng chính xác hơn đáng kể. Theo tác giả của hội thảo trực tuyến, số liệu thống kê tích lũy đã đủ để tự tin phân biệt giữa các thế hệ card đồ họa khác nhau. Đây chính là điều làm cho công nghệ này trở thành một công cụ hấp dẫn.

Một bài kiểm tra hiệu năng WebGPU được thực hiện tốt sẽ cho thấy nhiều điểm không nhất quán: việc sử dụng các trình duyệt chống phát hiện, VPS, máy tính từ xa và máy chủ chuyên dụng, và quan trọng nhất là sự khác biệt giữa card đồ họa được quảng cáo và hiệu năng thực tế của nó. Hãy tưởng tượng: trình duyệt báo cáo rằng hệ thống có RTX 4090, nhưng sức mạnh tính toán lại tương đương với đồ họa tích hợp Intel. Sự khác biệt này dễ dàng nhận thấy ngay lập tức.

Điều này dẫn đến một kết luận quan trọng đối với những kẻ đang cố gắng che giấu môi trường xung quanh. Trước đây, chỉ cần thay thế chuỗi tên GPU là đủ, và dấu vân tay sẽ trông rất thuyết phục. Giờ đây, điều đó không còn đủ nữa. Nếu trình duyệt khai báo một kiểu GPU, nhưng hiệu năng lại cho thấy một kiến ​​trúc hoàn toàn khác, điều này tạo ra mâu thuẫn mà phần mềm chống gian lận đánh giá cao nhất. Việc chỉ đơn giản thay thế kiểu GPU không còn hiệu quả nữa.

Bạn có nhận biết được khi nào mình đang bị kiểm tra không?

Một câu hỏi hợp lý đặt ra là: liệu có thể biết được một trang web có đang chạy thử nghiệm WebGPU hay không? Theo Dmitry Momot, câu trả lời là có, và có hai phương pháp chính.

Đầu tiên là theo dõi tải trọng của card đồ họa. Một bài kiểm tra hiệu năng nặng sẽ tạo ra tải trọng đáng kể lên GPU, và điều này đặc biệt dễ nhận thấy trên các chip tích hợp yếu: ngay khi bạn mở trình theo dõi tải trọng của card đồ họa, các đỉnh hoạt động đặc trưng sẽ xuất hiện trên biểu đồ. Ngược lại, các bài kiểm tra nhẹ hơn có thể chạy gần như không để lại dấu vết.

Cách tiếp cận thứ hai là xem xét mã nguồn của trang. Một lệnh gọi JavaScript đến navigator.gpu là một dấu hiệu mạnh mẽ cho thấy WebGPU đang được sử dụng. Tuy nhiên, điều quan trọng là phải nhận thức được vấn đề mã hóa làm rối loạn mã nguồn: mã có thể dễ dàng bị làm rối loạn để che giấu các lệnh gọi như vậy.

Do đó, lời khuyên thực tế từ hội thảo trực tuyến, thoạt nghe có vẻ nghịch lý, là: ngay cả một bài kiểm tra rất khắt khe cũng có thể chạy gần như không nhận thấy sự khác biệt trên card đồ họa RTX 4090 mạnh mẽ, trong khi card đồ họa tích hợp tầm trung lại phản ứng mạnh mẽ hơn nhiều với tải trọng. Vì vậy, khi phân tích hiệu năng của các trang web bằng cách sử dụng các bài kiểm tra hiệu năng WebGPU, phần cứng yếu hơn đôi khi lại thuận tiện hơn phần cứng cao cấp.

Nó có nghĩa là gì?

WebGPU đang nhanh chóng trở thành một trong những nguồn dữ liệu thú vị nhất cho các hệ thống chống gian lận hiện đại. Nhưng bài học quan trọng là: không phải bản thân công nghệ mới có giá trị, mà là hành vi của phần cứng. Cờ hỗ trợ tự nó hầu như không có ý nghĩa gì và dễ dàng được mô phỏng – sức mạnh thực sự đến từ khả năng thực hiện các phép tính mạnh mẽ và so sánh các thông số kỹ thuật được công bố của thiết bị với hành vi thực tế của nó.

Sự thay đổi này mở ra những cách thức mới để phát hiện các trình duyệt chống phát hiện, dấu vân tay GPU giả mạo, máy ảo, VPS và máy chủ từ xa, cũng như bất kỳ sự khác biệt nào giữa hiệu năng phần cứng được công bố và hiệu năng thực tế. Và WebGPU càng phổ biến, xu hướng tổng thể càng trở nên rõ ràng hơn: đặc tính tính toán của thiết bị đang trở nên quan trọng hơn chuỗi User Agent hay tên gọi card đồ họa hoa mỹ.

Đối với các chuyên gia an ninh thông tin, điều này thể hiện một sự thay đổi mang tính đột phá—một quá trình chuyển đổi dần dần từ việc phân tích dấu vân tay tĩnh sang phân tích hành vi thực tế của phần cứng. Và, rõ ràng, đây mới chỉ là khởi đầu.