Mutasd a GPU-d, megmondom ki vagy!

Webes felhasználók azonosítására nemcsak a sütik alkalmasak, hanem például a grafikus kártyák is.

Az internetes látogatók azonosítása fontos és sok szempontból érzékeny része a modern internetnek. Azon túl, hogy a sütik, a böngésző ujjlenyomat és más, ennél is „haladóbb” megoldások felhasználhatók jóra is (például arra, hogy a meglátogatott szolgáltatás automatikusan beléptessen fiókunkba, betöltse kedvelt beállításainkat, és így tovább), igen nagy százalékban használják őket legalábbis megkérdőjelezhető funkciókhoz. A személyre szabott reklámok, profilozás, illetve az ez alapján indított, jól célzott internetes támadás csak különböző pontok a semlegestől a nagyon rosszig terjedő skálán, amire ezek az eljárások felhasználhatók. Nem véletlen, hogy elég sok módszer van arra, hogy ezeket a megoldásokat valamiképp kijátsszuk, a böngésző inkognitó módjától a Tor Projektig. Most az azonosítást végzők eszköztára bővülhet egy új megoldással, mely a számítógépben található grafikus processzorra építkezik.

A francia, izraeli és ausztrál kutatókból álló csapat által fejlesztett DrawnApart technológia azon modern fingerprinting megoldásokat egészítheti ki, melyek például a böngésző adataiból, a felhasználó által használt operációs rendszerből, az abban beállított időzónát és más lekérhető adatokból gyúrnak össze a felhasználó tudta nélkül egy őt egyedileg azonosító „internetes ujjlenyomatot”. Minél több alapra építkezik ez az ujjlenyomat, annál megbízhatóbb, hiszen míg a böngésző adatai viszonylag gyakran változnak, az időzóna pedig elég sok felhasználóra ugyanaz, ha ezeket pár hardverre utaló jellemzővel kombináljuk, máris nagy hatásfokkal nyomon tudjuk követni a célszemély mozgását a világhálón. A DrawnApart ezt a hardveres azonosítót a WebGL segítségével hozza létre úgy, hogy pár apró GSGL programot futtat a GPU-n, és méri lefutási idejét és más paramétereit. A kutatók a bemutatóra használt, látható eredményt adó verzió mellett egy, titokban a háttérben futó megoldást is elkészítettek, melyek 176 mérésből egy 16 pontból álló azonosítót készítettek, mely minden GPU-ra egyedileg jellemző, és akkor sem változott, ha az adott számítógépben például memóriát, CPU-t vagy más komponenst cseréltek. Ez elég látványos javulást hozott a nyomkövetés hatékonyságában: míg az etalonként használt, fejlett követőrendszer korábban átlagosan 17,5 napig tudott valakinek a nyomában maradni, a DrawnAparttal kiegészítve ez 28 napra nőtt.

A kutatócsapat az eredményeket a WebGL API-t is fejlesztő Khronos Grouppal is megosztotta, akik már el is kezdtek foglalkozni a potenciális megoldási lehetőségekkel.

Azóta történt