Arredondamento trigonométrico do navegador revela seu sistema operacional a sistemas anti-bot

A mais recente técnica de fingerprinting de navegadores desvia do comum. Sai a análise de Canvas ou WebGL e entra em cena algo muito mais sutil: a matemática. Pesquisadores descobriram que pequenas variações no arredondamento de funções trigonométricas, como o cosseno (Math.cos) ou a tangente hiperbólica (Math.tanh), podem revelar o sistema operacional do usuário. Essas discrepâncias são imperceptíveis para nós, mas se tornam um novo vetor para sistemas anti-bot e anti-fraude, permitindo identificar e rastrear dispositivos com uma precisão inédita.

O detalhe está em como cada sistema operacional implementa sua própria biblioteca matemática (a chamada libm). Linux usa glibc, macOS utiliza libsystem_m e Windows conta com UCRT. Embora sigam o padrão IEEE 754 para números de ponto flutuante, esse padrão não exige arredondamento "correto" para funções transcendentais. Cada fornecedor otimiza sua libm com coeficientes e tabelas próprios. Isso cria variações minúsculas nos bits finais dos resultados, que são detectáveis. Para sistemas de defesa, isso significa um sinal de identificação do OS, difícil de ser falsificado, adicionando uma camada de segurança ou, a depender do lado, de rastreamento robusta.

Houve uma mudança importante no Chrome, que abriu essa brecha. Até o Chrome 147, o motor V8 do navegador usava uma versão própria da biblioteca fdlibm para computar a função Math.tanh. Isso garantia resultados idênticos em qualquer sistema operacional. Contudo, a partir do Chrome 148, uma alteração fez com que o V8 passasse a usar a std::tanh da própria plataforma. Essa alteração direciona a chamada para a libm nativa do sistema, revelando as particularidades de arredondamento de cada OS.

Apesar de Math.tanh ser a única função JavaScript a vazar essa informação por essa mudança, as funções trigonométricas do CSS já usavam a libm do sistema, vazando dados do OS há mais tempo. Essa evolução no Math.tanh torna o fingerprinting via matemática ainda mais completo e difícil de enganar, forçando quem busca privacidade ou tenta simular outros sistemas a reconstruir com precisão bit-a-bit a matemática do OS alvo.

Para o usuário final, isso significa menos privacidade. Seu sistema operacional agora pode ser identificado de uma forma que antes era invulnerável, mesmo que você use VPNs ou modos de navegação anônima. Para desenvolvedores e empresas que dependem de sistemas anti-bot, essa é uma ferramenta poderosa. Mas para quem atua com web scraping ou automação, significa uma barreira a mais, elevando a complexidade para simular navegadores reais com exatidão bit-a-bit.

Essa descoberta mostra como as técnicas de fingerprinting estão se tornando cada vez mais sofisticadas e difíceis de combater. Ela se soma a outras, como as que o CEVIU News já cobriu: a técnica FROST, que usa o tempo de resposta de SSDs para rastrear, e o uso de WebGL pelo Cloudflare Turnstile, que bloqueia navegadores focados em privacidade. O cenário de rastreamento digital evolui constantemente, exigindo atenção para as novas formas de identificação online.