Forscher entdecken neue Fingerprinting-Methode, die Sie über Ihre GPU verfolgen kann
Mangel an Privatsphäre: Privatsphäre scheint heutzutage eine Seltenheit zu sein, aber mit genügend Sorgfalt und Mühe ist es möglich, Ihren digitalen Fußabdruck vor großen Technologieunternehmen und Weltregierungen gleichermaßen zu verbergen. Zumindest war das bisher so. Forscher aus Frankreich, Israel und Australien haben sich zusammengetan, um zu beweisen, dass selbst die strengsten Datenschutzvorkehrungen möglicherweise nicht ausreichen, um alle Tracking-Schlupflöcher zu schließen. Wie sich herausstellt, könnte Ihre eigene Computerhardware am Ende gegen Sie arbeiten.
Die betreffenden Forscher haben eine Methode zur Geräteidentifikation entwickelt, die sie „ DrawApart” nennen. Diese Strategie nutzt traditionelle Browser-Fingerprinting-Technologie, die tendenziell obsolet wird, je länger ein Fingerabdruck verwendet wird, und macht die Dinge noch besser, indem sie das Gerät eines Benutzers basierend identifiziert auf die "einzigartigen Eigenschaften" seines GPU-Stacks.
Normalerweise werden Browser-Fingerabdrücke im Laufe der Zeit verwirrt, wenn Benutzer mit ähnlichen Geräten und ähnlicher Hardware eine bestimmte Website aufrufen. GPU-Fingerprinting versucht, die „leichten Unterschiede” zu finden, die durch den Herstellungsprozess jeder Grafikkarte verursacht werden; die Unterschiede, die nicht leicht maskiert oder verschleiert werden können.
Wie funktioniert DrawnApart also auf einer etwas technischeren Ebene? Laut Forschern generiert es zunächst eine „Sequenz von Rendering-Aufgaben”, von denen jede auf unterschiedliche „Ausführungseinheiten” auf der GPU eines Benutzers abzielt. Die Ergebnisse dieser Aufgaben – eine Fingerabdruckspur – werden dann in ein maschinelles Lernnetzwerk eingespeist, das diese Spur in einen „Einbettungsvektor” umwandelt. Dieser Vektor beschreibt den Fingerabdruck und kann einen Gegner (die Person oder Entität, die diese Technik verwendet) auf das spezifische Gerät verweisen, das ihn erzeugt hat.
Die Workloads von DrawnApart werden mit WebGL generiert, der Grafikbibliothek, die für das Rendern auf unzähligen Websites verantwortlich ist. Die fraglichen Workloads sind darauf ausgelegt, die kleinsten Unterschiede im Stromverbrauch und der Rechenleistung zwischen den GPUs herauszufiltern. Selbst wenn Marke und Modell identisch sind, verarbeitet jede Karte das Rendern von WebGL-Punkten (Objekte mit einem Scheitelpunkt) und handhabt Stall-Funktionen etwas anders. Sie können ein Beispiel für diese kleinen Unterschiede im Trace-Bild unten sehen, das mit scheinbar identischen GPUs verglichen wird.
Die Forscher verwendeten DrawnApart, um 50 Spuren von beiden Geräten zu sammeln, wobei jede einzelne Spur aus „176 Messungen von 16 Punkten” bestand. Diese Messungen werden dann in 16 Gruppen von 11 organisiert, und jede Gruppe "stoppt" einen anderen Punkt. Die Zeit, die die GPU benötigt, um jeden Punkt zu rendern, wird mithilfe eines Farbverlaufs angezeigt, der von reinem Weiß bis zu einem tiefen Blau reicht, wobei ersteres ein schnelleres Rendern darstellt (fast 0 ms) und letzteres ein langsameres darstellt (bis zu 90 ms). Die roten Balken, die Sie im obigen Bild sehen, werden nur verwendet, um die Gruppen zu trennen, weshalb sie über beide Spuren hinweg konsistent bleiben.
Wie Sie sehen können, gibt es deutliche Unterschiede zwischen diesen beiden Spuren. Forscher weisen darauf hin, dass einige dieser Variationen zu erwarten sind, da selbst dasselbe Gerät nicht immer identisch funktioniert. Trotzdem ist das Team der Meinung, dass diese Spuren Muster zeigen, die deutlich genug sind, um zwischen zwei identischen Karten unterscheiden zu können. Natürlich ermöglicht dieses Maß an granularer Messung ein hochpräzises Fingerprinting, das Benutzer über einen viel längeren Zeitraum verfolgen kann als herkömmliche Methoden. In Kombination mit einem "modernsten" Tracking-Algorithmus, berichtet Bleeping Computer, erhöht Drawn Apart die Zeitdauer, in der ein Ziel verfolgt werden kann, um bis zu 67 Prozent (28 Tage gegenüber dem normalen Durchschnitt von 17,5 Tagen).
Also … warum überhaupt diese Forschung durchführen? Wenn sich diese Forscher so sehr um die Privatsphäre der Nutzer sorgen – was sie behaupten – warum sollten sie Werbetreibenden und anderen schlechten Schauspielern sozusagen die Schlüssel zum Königreich geben? Das Team hofft, dass die Leute hinter Grafikbibliotheken wie WebGL oder der kommenden WebGPU-API durch die Aufdeckung dieser potenziellen Datenschutzlücken die Auswirkungen ihrer Technologie auf die Privatsphäre der Benutzer berücksichtigen und eher früher als später Sicherheitsvorkehrungen treffen werden.
In jedem Fall ist diese Forschung interessant und wirft einige ernsthafte Bedenken hinsichtlich der Zukunft des Datenschutzes im Internet auf. Wir sind gespannt, was in Zukunft daraus wird, im Guten wie im Schlechten.