使用中のGPUから個人を識別できる技術が登場、同じ型番のGPUでも正確に見分けられる

インターネット上の広告は、その効果を最大化するためにユーザーの行動を追跡して適切なターゲットを選別しています。このユーザー追跡はCookieなどを用いて行われていますが、新たにGPUを用いてユーザーを識別できる技術が発表されました。

DRAWNAPART: A Device Identification Technique based on Remote GPU Fingerprinting
https://arxiv.org/abs/2201.09956

Researchers use GPU fingerprinting to track users online
https://www.bleepingcomputer.com/news/security/researchers-use-gpu-fingerprinting-to-track-users-online/

ユーザーの行動を分析して広告を配信するターゲティング広告では、サードパーティーCookieを用いて個人を識別する手法が一般的でしたが、近年になって複数のブラウザがサードパーティーCookieをブロックするようになったことから、広告業界では新たな個人識別方法の確立が求められています。新たな個人識別方法の中でも「OS」「ブラウザ」「タイムゾーン」「ハードウェア構成」「ネットワーク設定」などを元に「フィンガープリント」を作成して個人を識別する手法は、Cookieを用いずとも正確な個人識別が可能なことから注目を集めています。なお、フィンガープリントについては、以下の記事を読むと詳しく理解できます。

Cookieなしでもユーザーを識別可能な「フィンガープリント」とは何か？ – GIGAZINE.BIZ

上述の通り、フィンガープリントの作成にはユーザーのハードウェア構成が使われており、このハードウェア構成には「画面解像度」「ストレージ空き容量」「CPUコア数」「カメラ・マイクの個数」といった情報が用いられています。新たに発表されたGPUを用いた個人識別法は「DRAWNAPART」と名付けられており、上記の情報を用いた個人識別法と併用することで精度をさらに高めることが可能とされています。

DRAWNAPARTに必要な処理は、ブラウザ上でGPUによる処理を実行できる技術「WebGL」を用いてユーザーのGPUに任意の計算を実行させ、その計算にかかった時間を計測するだけです。計算処理にかかる時間がGPUの種類によって変わることはもちろんですが、GPUは製造行程の都合から同じ種類のGPUでも性能に微妙な違いが存在しているため、同じ種類のGPU同士でも高い確度で個人を識別できるというわけ。

DRAWNAPARTを発表した研究チームによると、従来のフィンガープリントのみを用いた個人識別では平均17.5日間しか個人を追跡することができなかったのに対し、従来のフィンガープリントとDRAWNAPARTを併用した場合は平均28日間追跡できたとのこと。ただし、上記の追跡日数計測は「GPUの温度を26.4度～37度に保つ」「電圧変動がない」という条件で実施されているため、温度や電圧が変化すれば追跡が困難になる可能性があります。

研究チームは研究報告の中で、WebGLの後継技術として「WebGPU」が開発中であることを挙げつつ「WebGPUが一般的になると、DRAWNAPARTと同様の個人識別方法が登場すると予想されます」と主張しています。