I ricercatori scoprono un nuovo metodo di rilevamento delle impronte digitali in grado di tracciarti tramite la tua GPU

Mancanza di privacy: la privacy sembra una rarità al giorno d'oggi, ma con sufficiente attenzione e impegno, è possibile oscurare per lo più la propria impronta digitale dalle gigantesche aziende tecnologiche e dai governi mondiali allo stesso modo. Almeno, finora è stato così. Ricercatori provenienti da Francia, Israele e Australia si sono uniti per dimostrare che anche le più rigorose salvaguardie della privacy potrebbero non essere sufficienti per chiudere tutte le scappatoie di tracciamento. A quanto pare, l'hardware del tuo computer potrebbe finire per funzionare contro di te.

I ricercatori in questione hanno sviluppato un metodo di identificazione del dispositivo che chiamano " DrawnApart ". Questa strategia prende la tradizionale tecnologia di fingerprinting del browser, che tende a diventare obsoleta quanto più a lungo è in uso un'impronta digitale e fa un salto di qualità identificando il dispositivo di un utente sulle "proprietà uniche" del suo stack GPU.

Di solito, le impronte digitali del browser tendono a confondersi nel tempo quando utenti con dispositivi simili con hardware simile accedono a un determinato sito Web. Il fingerprinting della GPU cerca di trovare le "lievi differenze" indotte dal processo di produzione di ciascuna scheda video; le differenze che non possono essere facilmente mascherate o offuscate.

Quindi, come funziona DrawnApart a un livello leggermente più tecnico? Secondo i ricercatori, prima genera una "sequenza di attività di rendering", ciascuna con diverse "Unità di esecuzione" target sulla GPU di un utente. I risultati di queste attività, una traccia di impronte digitali, vengono quindi inviati a una rete di apprendimento automatico, che trasforma detta traccia in un "vettore di incorporamento". Questo vettore descrive l'impronta digitale e può puntare un avversario (la persona o l'entità che utilizza questa tecnica) verso il dispositivo specifico che l'ha generata.

I carichi di lavoro di DrawnApart vengono generati utilizzando WebGL, la libreria grafica responsabile del rendering di innumerevoli siti Web. I carichi di lavoro in questione sono progettati per individuare le differenze più minime nel consumo energetico e nella potenza di elaborazione tra le GPU. Anche se marca e modello sono identici, ogni scheda elaborerà il rendering dei punti WebGL (oggetti a vertice singolo) e gestirà le funzioni di stallo in modo leggermente diverso. Puoi vedere un esempio di queste piccole differenze nell'immagine di traccia qui sotto, che si confronta con GPU apparentemente identiche.

I ricercatori hanno utilizzato DrawnApart per raccogliere 50 tracce da entrambi i dispositivi, con ogni singola traccia composta da "176 misurazioni di 16 punti". Tali misurazioni vengono quindi organizzate in 16 gruppi di 11 e ogni gruppo "si ferma" in un punto diverso. Il tempo impiegato dalla GPU per eseguire il rendering di ogni punto viene visualizzato utilizzando un gradiente di colore che va dal bianco puro al blu intenso, con il primo che rappresenta un rendering più veloce (quasi 0 ms) e il secondo uno più lento (fino a 90 ms). Le barre rosse che vedi nell'immagine sopra vengono utilizzate solo per separare i gruppi, motivo per cui rimangono coerenti su entrambe le tracce.

Come puoi vedere, ci sono differenze nette tra queste due tracce. I ricercatori notano che alcune di queste variazioni sono prevedibili poiché anche lo stesso dispositivo non funzionerà sempre in modo identico. Tuttavia, nonostante ciò, il team ritiene che queste tracce mostrino schemi abbastanza distinti da consentire loro di distinguere tra due carte identiche. Naturalmente, questo livello di misurazione granulare consente impronte digitali altamente accurate in grado di tracciare gli utenti per un periodo di tempo molto maggiore rispetto ai metodi tradizionali. Se combinato con un algoritmo di tracciamento "all'avanguardia", Bleeping Computer segnala, Drawn Apart aumenta la durata del tempo in cui un obiettivo può essere seguito fino al 67% (28 giorni contro la media normale di 17,5 giorni).

Quindi… Perché eseguire questa ricerca? Se questi ricercatori sono così preoccupati per la privacy degli utenti – come affermano di essere – perché dare agli inserzionisti e ad altri cattivi attori le chiavi del regno, per così dire? Il team spera che, esponendo queste potenziali scappatoie per la privacy, le persone dietro le librerie grafiche come WebGL o l'imminente API WebGPU considereranno le implicazioni che la loro tecnologia potrebbe avere sulla privacy degli utenti e integreranno le misure di sicurezza prima piuttosto che dopo.

Ad ogni modo, questa ricerca è interessante e pone serie preoccupazioni per il futuro della privacy sul web. Non vediamo l'ora di vedere cosa ne verrà fuori in futuro, nel bene e nel male.