WebGPU parmak izi: Canvas ve WebGL'den sonraki nesil

WebGPU 2023'te Chrome 113 ile yayınlandı. 2026 itibarıyla tüm büyük tarayıcılarda ve tüm büyük platformlarda kullanılabiliyor. OpenGL ES 2.0'ı saran bir tarayıcı API'si olan WebGL'in aksine WebGPU, modern GPU API'lerine doğrudan bir arayüzdür: Linux'ta Vulkan, macOS'ta Metal, Windows'ta DirectX 12.

Bu, bir tarayıcının altındaki donanım hakkında neleri sorgulayabileceğini değiştirir. Canvas ve WebGL parmak izi, render çıktılarına dayanıyordu. WebGPU, doğrudan GPU'nun kendisine yetenek sorgusu yapmaya izin vererek render çıktısının ancak ima edebileceği mimari ayrıntıları açığa çıkarır.

Parmak izi açısından bu, sinyal kalitesinde basamak şeklinde bir sıçramadır.

WebGPU'nun açığa çıkardığı, WebGL'in çıkarmadığı

WebGL'in tanılama yüzeyi sınırlıdır. En kullanışlı parçası, satıcı ve renderer dizelerini döndüren WEBGL_debug_renderer_info uzantısıdır — anti-detect tarayıcılar bunu sıklıkla taklit eder, gizlilik özellikleri ise kırpar.

WebGPU, çok daha zengin veri taşıyan GPUAdapter ve GPUAdapterInfo nesneleri sunar:

• Vendor — GPU üreticisinin tanımlayıcısı (NVIDIA, AMD, Intel, Apple, Qualcomm).
• Architecture — GPU mimari ailesi (Ampere, RDNA 2, Xe-LP, Apple M2, Adreno).
• Device — mevcutsa belirli model.
• Description — insan tarafından okunabilir dize.

Kimlik bilgisinin ötesinde WebGPU, GPU limitlerini açığa çıkarır: donanımın tam sayısal yetenekleri. Bunlar GPUSupportedLimits arayüzüyle sorgulanabilir ve 30'dan fazla sayısal özellik içerir:

• Maksimum doku boyutları — maxTextureDimension2D
• Maksimum arabellek boyutu — maxBufferSize
• Maksimum bind group sayısı — maxBindGroups
• Maksimum compute workgroup boyutları
• Maksimum vertex öznitelik sayısı
• Storage arabellekleri için hizalama gereksinimleri

Bu değerlerin her biri, donanımın yeteneğine göre GPU sürücüsü tarafından belirlenir. Farklı GPU kuşakları — aynı üreticide bile — farklı limit kombinasyonlarına sahiptir. 2019 model bir GPU'nun limitleri, aynı aileden 2023 model bir GPU'nunkinden farklıdır.

Bunu taklit etmek neden daha zor

Anti-detect tarayıcılar Canvas ve WebGL'i, API çağrılarını araya girip sonuçları değiştirerek taklit eder. Canvas'ın döndürdüğü şey render edilmiş piksellerin hash'leridir — tarayıcı render edip ardından hash'i değiştirebilir. WebGL'de ise tümüyle değiştirilebilecek az sayıda dize sorgulanır.

WebGPU farklıdır. API yüzeyi geniştir: yüzlerce metot ve özellik. Her çağrının makul bir dönüş değerine ihtiyacı vardır. Bir taklit katmanı şunları yapmak zorundadır:

• Tüm sayısal limitler boyunca tutarlı bir kimlik sunmak — NVIDIA RTX 4090 olduğunu iddia eden bir GPU, o donanıma uyan her limit değerini döndürmelidir.
• Gerçek hesaplama yürütmesiyle baş etmek. WebGPU, compute shader çalıştırmaya izin verir. Taklit katmanı yüksek performans iddia edip yavaş hesaplama sunuyorsa, uyumsuzluk zamanlamadan yakalanır.
• Sürücü güncellemeleri boyunca değişimi izlemek. Her GPU sürücü sürümünün limitleri biraz farklıdır. Statik taklit tabloları, yeni sürücüler çıktıkça eskir.

Gerçek donanım bunların hepsini bedavaya sağlar. Donanımı taklit etmek ise her GPU modeli ve her sürücü sürümü için gerçek limit kombinasyonlarından oluşan bir veritabanını sürdürmeyi gerektirir — çoğu anti-detect tarayıcının henüz üstlenmediği, sürekli bir bakım yükü.

Parmak izi olarak hesaplama performansı

WebGPU, tarayıcıda rastgele compute shader çalıştırmaya izin verir. Bu da tespit sistemlerinin standartlaştırılmış iş yüklerini çalıştırıp ne kadar sürdüğünü ölçebilmesi demektir.

Bir hash kırma testi, bir matris çarpımı ya da render'a yakın bir hesaplama görevi; hepsi altta yatan donanımın belirlediği hızda çalışır. Aynı GPU modeline sahip olduğunu iddia edip farklı hesaplama performansı sunan iki ziyaretçiden biri donanım konusunda yalan söylüyordur.

Bu teknik, statik parmak izi taklidini tümüyle atlar. Ziyaretçi istediği GPU dizesini iddia edebilir. Sahip olmadığı bir hesaplama performansını iddia edemez.

Bedeli kullanıcı deneyimidir. Arka planda compute shader çalıştırmak GPU döngüsü tüketir ve yavaşlık olarak algılanabilir. Bu da tekniğin ne kadar agresif kullanılabileceğini sınırlar — genelde sürekli izleme yerine şüpheli oturumlarda tek seferlik kontrol olarak.

Sinyal olarak özellik kullanılabilirliği

WebGPU, isteğe bağlı özellikleri GPUAdapter.features üzerinden açığa çıkarır. Bazı GPU'lar belirli uzantıları destekler:

• timestamp-query — performans sayaçları olan modern bir GPU gerektirir
• shader-f16 — yarı duyarlıklı kayan nokta, mobil GPU'larda yaygın
• texture-compression-bc — Block Compression, masaüstünde standart
• texture-compression-etc2 — mobil doku formatı
• texture-compression-astc — mobil doku formatı

Özellik kümesi GPU modeli başına deterministiktir. Mobil Adreno özelliklerine sahip olduğunu iddia eden bir Windows makinesi yakalanır. Yalnızca masaüstünde bulunan sıkıştırma formatlarını iddia eden bir mobil cihaz yakalanır.

WebGL ile tutarlılık

WebGPU'dan önce tarayıcıların tek bir birincil GPU sorgu yüzeyi vardı: WebGL. Artık iki tane var ve birbirleriyle uyuşmak zorundalar.

WebGL ve WebGPU aynı GPU'yu açığa çıkarır. Yanıtlarının tutarlı olması gerekir. WebGL üzerinden NVIDIA RTX 4080 bildiren, ama tümleşik bir Intel GPU'ya uyan WebGPU limitleri döndüren bir tarayıcı, gerçek donanımda mümkün değildir.

API'ler arası tutarlılık, tespit için bir başka sinyaldir. Tek bir API'yi taklit etmek doğrudandır. İki API'yi karşılıklı tutarlı biçimde taklit etmek belirgin şekilde zordur — ve mevcut anti-detect tarayıcılar bunu büyük ölçüde yapmaz.

WebGPU'nun işletim sistemi ve sürücü hakkında açığa çıkardıkları

GPU kimliğinin ötesinde WebGPU, grafik yığınına dair bağlam da açığa çıkarır:

• Windows'ta WebGPU, Direct3D 11 mi yoksa Direct3D 12 mi kullanıldığını gösterebilir; bu da işletim sistemi sürümü ve sürücü dönemiyle ilişkilidir.
• macOS'ta desteklenen Metal sürümü macOS sürümünü ele verir — çünkü Metal sürümleri işletim sistemi güncellemeleriyle gelir.
• Linux'ta Vulkan destek düzeyleri dağıtımı ve sürücünün kökenini ele verir (örneğin tescilli NVIDIA'ya karşı açık kaynaklı Mesa).

Bu sinyallerin hiçbiri doğrudan değildir; her biri yorum gerektirir. Ama bir arada, bildirilen tarayıcı parmak iziyle ilişkili olması gereken bir yazılım yığını resmi oluştururlar. Uyumsuzluklar taklidi ele verir.

Tespit yığınlarında benimsenme takvimi

WebGPU parmak izi 2026'da henüz yaygın bir tespit tekniği değil; bunun üç nedeni var:

1. Tarayıcı desteği hâlâ oturuyor. Firefox'ta WebGPU 2024'te geldi, ama sınırlı özellik kapsamıyla. Safari'de WebGPU 2024'te geldi, ancak Chrome'dan farklı limitlerle. Tespit sistemlerinin WebGPU sinyallerine yaslanabilmesi için geniş kapsama ihtiyacı var.
2. Gerçek kullanıcılarda WebGPU desteği hâlâ eksik. Eski cihazlarda WebGPU özelliklerini destekleyen GPU'lar yok. WebGPU'su olmayan ziyaretçileri cezalandıran bir tespit sistemi, beş yıllık donanımdaki meşru kullanıcıları engelleme riskine girer.
3. Anti-detect tarayıcılar henüz tam kapsamlı WebGPU taklidi geliştirmedi; bu da WebGPU tabanlı sinyalleri, izlerini sildiğini sanan sofistike saldırganlara karşı şu an etkili kılıyor. Tespit yaygınlaştıkça ve taklit araçları yanıt verdikçe bu değişecek.

2–3 yıllık benimsenme ufku gerçekçi. 2027–2028'e gelindiğinde WebGPU sinyalleri, bot tespitinde bugün WebGL'in olduğu kadar merkezî olacak. Tespit ekipleri için soru, WebGPU verisini toplamaya ne zaman başlanacağıdır — cevap ise şimdi, ki bu sinyaller birincil hale geldiğinde tarihsel temel hazır olsun.

Bu, savunma tarafı için ne anlama geliyor

Canvas parmak izi olgun bir tekniktir. WebGL parmak izi olgun bir tekniktir. Her ikisi de anti-detect araçlarca etkin biçimde ve makul başarıyla taklit edilmektedir.

WebGPU parmak izi genç bir tekniktir. Taklit araçları henüz yetişemedi. Bu da bir pencere yaratıyor — muhtemelen 18–36 ay — ve bu pencerede WebGPU sinyalleri gerçek kullanıcıları sofistike botlardan temiz biçimde ayırıyor. Bu pencereye yatırım yapmaya değer.

Ürettiği sinyaller ayrıca Canvas veya WebGL'e göre yapısal olarak daha zor taklit edilir. Render araya girilerek değiştirilebilir. Hesaplama performansı değiştirilemez. Özellik kümeleri hakkında yalan söylenebilir, ama API yüzeyinin tamamında tutarlı biçimde söylenemez. Parmak izi tekniklerinin her kuşağı taklidin maliyetini artırır. WebGPU bunu belirgin ölçüde artırır.

2026 ve sonrasında bot tespitini ciddiye alan platformlar için sinyalin gittiği yer WebGPU'dur.