Un equipo de investigadores de Francia, Israel y Australia ha desarrollado una nueva técnica que permite identificar a usuarios individuales según la firma específica y única de su tarjeta gráfica. Si bien es una prueba de concepto, sirve como advertencia, ya que las páginas webs o los actores malintencionados podrían rastrear y recopilar datos sobre las actividades en línea de los usuarios individuales en tiempo real.

El equipo de investigadores de universidades francesas, israelíes y australianas exploró la posibilidad de usar las GPU de las personas para crear huellas dactilares únicas y usarlas para el seguimiento web persistente.

Se trata de un grave problema para la privacidad de los usuarios, que en la actualidad se encuentra protegida por leyes enfocadas a la obtención del consentimiento para la activación de las cookies de los sitios web.

API WebGL

Los investigadores revelaron que para la prueba emplearon la API WebGL (Web Graphics Library) en su beneficio para crear una huella digital única para cada GPU y así poder rastrear a los usuarios. Este exploit funciona porque cada pieza de silicio tiene sus propias variaciones y características únicas cuando se fabrica, al igual que cada ser humano tiene una huella dactilar única. Incluso entre los mismos modelos de procesadores, las diferencias de silicio hacen que cada producto sea distinto. Esa es la razón por la que no se puede overclockear cada silicio a la misma frecuencia y voltaje.

DrawnApart es el resultado de la posibilidad de identificar a cada usuario por medio de su GPU. Utilizando WebGL, ejecutan una carga de trabajo en la GPU que identifica más de 176 medidas en 16 lugares de recogida de datos. Para ello se utilizan operaciones de vértices en GLSL (OpenGL Shading Language), donde se evita que las cargas de trabajo se distribuyan de forma aleatoria en la red de unidades de procesamiento. DrawnApart puede medir y registrar el tiempo para completar los renders de vértices, registrar la ruta exacta que tomó el renderizado, manejar las funciones de detención, y mucho más. Esto permite que el marco de trabajo emita combinaciones únicas de datos que se convierten en huellas dactilares de las GPUs, que pueden explotarse en línea.

Los resultados de su experimento a gran escala que involucró a 2550 dispositivos con 1605 configuraciones distintas de CPU muestran que su técnica, denominada "DrawnApart", puede aumentar la duración media del seguimiento al 67 % con respecto a los métodos actuales de última generación.

Khronos Group, creadores de la API de WebGL, ha creado un grupo de trabajo para manejar esta situación y evitar que la API dé demasiada información para rastrear a los usuarios en línea, por lo que básicamente este grupo de investigadores ha publicado la información para forzar a que se busque una solución

Huellas digitales de GPU idénticas

Los investigadores consideraron la posibilidad de crear huellas distintivas basadas en GPU (unidad de procesamiento de gráficos) de sistemas rastreados con la ayuda de Web Graphics Library (WebGL).

WebGL es una API multiplataforma para renderizar gráficos 3D en el navegador y está presente en todos los navegadores web modernos.

Con esta biblioteca, el sistema de seguimiento de DrawnApart puede contar el número y la velocidad de las unidades de ejecución en la GPU, medir el tiempo necesario para completar los renderizados de vértices, manejar las funciones de bloqueo y más.

DrawnApart utiliza programas GLSL cortos ejecutados por la GPU de destino como parte del sombreador de vértices para superar el desafío de tener unidades de ejecución aleatorias que manejen los cálculos. Por lo tanto, la asignación de la carga de trabajo es predecible y estandarizada.

El equipo desarrolló un método de medición en pantalla que realiza una pequeña cantidad de operaciones de computación intensiva y un método fuera de pantalla que somete a la GPU a una prueba más larga y menos intensa.

Fuentes:

https://arxiv.org/pdf/2201.09956.pdf

https://elchapuzasinformatico.com/2022/02/la-huella-digital-de-tu-gpu-puede-servir-para-rastrearte-por-internet/

https://www.bleepingcomputer.com/news/security/researchers-use-gpu-fingerprinting-to-track-users-online/