AliExpress podejrzewany o ukryte śledzenie urządzeń poprzez audio w przeglądarce

Firma AliExpress jest podejrzewana o wykorzystywanie ukrytego śledzenia audio, które pozwala na zbieranie unikalnych charakterystyk urządzenia bezpośrednio przez przeglądarkę. Według doniesień, strona uruchamia procesy audio bez emitowania dźwięku, a zebrane dane mogą być wykorzystywane do tworzenia cyfrowego odcisku palca urządzenia.

Według TechSpot, problem z przełączaniem się Bluetoothowych słuchawek z komputera na smartfon podczas korzystania z AliExpress doprowadził do wykrycia podejrzanej aktywności. Po zamknięciu strony usterka znikała, co skłoniło jednego z developerów do zbadania kodu źródłowego. Wykryto, że AliExpress używa Web Audio API do generowania audio-grafów działających z zerową głośnością. Choć użytkownik nie słyszy dźwięku, przeglądarka nadal przetwarza sygnał audio i nawiązuje połączenie z systemem audio komputera, co mogło wpływać na działanie słuchawek Bluetooth.

Aktywność ta nie była związana z typowym odtwarzaniem multimediów. Ponieważ audio-graf działał z zerowym wzmocnieniem i był bezpośrednio podłączony do wyjścia audio systemu, zwykłe wyciszenie zakładki w przeglądarce nie wystarczało, aby zatrzymać przetwarzanie sygnału. Ponadto, ten sam mechanizm może być wykorzystywany do audio-fingerprintingu — technologii identyfikującej urządzenie na podstawie niewielkich różnic w przetwarzaniu tego samego sygnału audio. Wynik zależy od procesora, sprzętu audio, systemu operacyjnego, przeglądarki i sterowników, co pozwala na stworzenie stabilnego identyfikatora urządzenia.

Dane audio stanowiły jedynie część informacji, które — według wykrytego kodu — mogły być zbierane przez skrypty AliExpress. Wśród nich znalazły się również dane związane z renderowaniem Canvas, WebGL, ustawieniami wyświetlacza, konfiguracją sprzętową, działaniem WebRTC oraz aktywnością użytkownika. Połączenie tych parametrów pozwala na stworzenie bardziej szczegółowego profilu urządzenia niż przy użyciu pojedynczej funkcji.

Fingerprinting jest szeroko stosowany przez internetowe serwisy w celu zapobiegania oszustwom, wykrywania botów i oceny podejrzanej aktywności. Problem polega jednak na tym, że użytkownik może nie być świadomy zbierania takich danych i praktycznie nie ma możliwości ich kontrolowania.

Na sprawę zwróciła również uwagę firma Brave. Według jej oświadczenia opublikowanego 22 sierpnia w mediach społecznościowych X, jej przeglądarka — która domyślnie chroni użytkowników przed fingerprintingiem — wykryła i zablokowała skrypty AliExpress odpowiedzialne za śledzenie audio. Użytkownicy innych przeglądarek mogą również zablokować te skrypty za pomocą narzędzi do filtrowania treści, takich jak rozszerzenie uBlock Origin, jednak może to wpłynąć na działanie niektórych funkcji AliExpress — podkreśla TechSpot.

Informacja od 3DNews.