AliExpress onder verdenking van verborgen audiotracking via browser

AliExpress wordt ervan verdacht gebruik te maken van verborgen audiotracking om unieke apparaatkenmerken te verzamelen via de browser. Volgens een ontwikkelaar zou de website audioprocessen starten zonder geluidssignaal, waardoor gegevens kunnen worden gebruikt voor het vormen van een digitaal vingerafdruk van het apparaat.

De ontdekking ontstond naar aanleiding van een probleem met Bluetooth-oortjes. Toen een ontwikkelaar AliExpress opende, konden de oortjes niet correct overschakelen van een computer naar een smartphone. Na het sluiten van de website verdween het probleem. Uit onderzoek van de broncode bleek dat AliExpress de Web Audio API gebruikt om audiografen te creëren die op nulvolume werken. Hoewel de gebruiker geen geluid hoort, blijft de browser het audiosignaal verwerken en verbindt het zich met het audiosysteem van de computer, wat mogelijk de oorzaak was van de storing bij de Bluetooth-oortjes.

Deze activiteit was niet gerelateerd aan reguliere multimediaplayback. Omdat de audiografen op nulvolume werkten en direct waren aangesloten op de systeemaudio-uitgang, was het uitschakelen van het geluid voor de browsertab niet voldoende om de signaalverwerking te stoppen. Daarnaast zou dezelfde techniek kunnen worden ingezet voor audiofingerprinting, een methode waarbij apparaten worden geïdentificeerd aan de hand van kleine verschillen in de verwerking van hetzelfde audiosignaal. Factoren zoals de processor, geluidskaart, besturingssysteem, browser en drivers beïnvloeden het resultaat, waardoor een combinatie van deze kenmerken een stabiele apparaat-ID kan vormen.

Naast audiodata verzamelden scripts van AliExpress, volgens de broncode, ook informatie via Canvas-tekeningen, WebGL, scherminstellingen, hardwareconfiguratie, WebRTC-activiteit en gebruikersacties. De combinatie van deze parameters maakt het mogelijk om een gedetailleerder apparaatprofiel samen te stellen dan met één enkele functie mogelijk is.

Fingerprinting wordt door veel internetdiensten gebruikt om fraude te voorkomen, bots te detecteren en verdachte activiteiten te beoordelen. Het probleem is echter dat gebruikers vaak niet op de hoogte zijn van deze gegevensverzameling en er weinig controle over hebben.

Brave, een browser die standaard bescherming biedt tegen fingerprinting, meldde op 22 augustus via X dat hun browser de scripts van AliExpress die verantwoordelijk zijn voor audiotracking heeft gedetecteerd en geblokkeerd. Gebruikers van andere browsers kunnen deze scripts ook blokkeren met behulp van contentfilteringtools zoals de extensie uBlock Origin, maar dit kan invloed hebben op bepaalde functies van AliExpress, aldus 3DNews.