AliExpress mistenkes for skjult lydsporing av enheter via nettleser

Nettstedet AliExpress mistenkes for å bruke skjult lydsporing som samler unike kjennetegn ved enheten direkte gjennom nettleseren. Ifølge undersøkelser starter nettsiden lydprosesser uten lydsignal, og de innsamlede dataene kan brukes sammen med andre parametere for å danne et digitalt fingeravtrykk av enheten.

En utvikler oppdaget problemet med Bluetooth-hodetelefoner da de ikke klarte å bytte fra datamaskin til smarttelefon mens en AliExpress-fane var åpen. Når siden ble lukket, forsvant problemet. Ved å undersøke kildekoden fant utvikleren at AliExpress bruker Web Audio API til å opprette lydgrafer med null volum. Selv om brukeren ikke hører lyd, fortsetter nettleseren å behandle lydsignalet og kobler seg til lydsystemet på datamaskinen, noe som tilsynelatende påvirket Bluetooth-hodetelefonene.

Denne aktiviteten var ikke knyttet til vanlig multimedieavspilling. Siden lydgrafen fungerte med null forsterkning og var direkte tilkoblet systemlydutgangen, var det ikke nok å dempe lyden i nettleseren for å stoppe signalbehandlingen. Mekanismen kan dessuten brukes til lydfingeravtrykking, en teknologi som identifiserer enheten basert på små forskjeller i behandlingen av det samme lydsignalet. Resultatet påvirkes av prosessor, lydutstyr, operativsystem, nettleser og drivere, og kombinasjonen av slike egenskaper kan danne en stabil identifikator for enheten.

I tillegg til lyddataene samlet skriptene på AliExpress inn opplysninger knyttet til Canvas-grafikk, WebGL, skjerminnstillinger, maskinvarekonfigurasjon, WebRTC-funksjoner og brukeraktivitet. Kombinasjonen av parametere gjør det mulig å lage en mer detaljert profil av enheten enn ved bruk av en enkelt funksjon.

Fingeravtrykking brukes ofte av internettjenester for å forhindre svindel, oppdage botaktivitet og vurdere mistenkelig atferd. Problemet er imidlertid at brukere muligens ikke er klar over innsamlingen av slike data og i liten grad kan kontrollere den.

Brave varslet om problemet 22. august på sosiale medier. Selskapet opplyste at deres nettleser, som som standard beskytter brukere mot fingeravtrykking, hadde oppdaget og blokkert skriptene fra AliExpress som stod bak lydsporingen. Eiere av andre nettlesere kan også blokkere disse skriptene ved hjelp av innholdsfiltreringsverktøy, for eksempel utvidelsen uBlock Origin, men dette kan påvirke enkelte funksjoner på AliExpress, ifølge 3DNews.