AliExpress wykorzystuje Web Audio do tworzenia cyfrowego „odcisku” Twojego urządzenia

AliExpress znalazło się pod ostrzałem po odkryciu skryptów, które wykorzystują system audio przeglądarki do zbierania informacji pozwalających stworzyć cyfrowy odcisk urządzenia, na którym przeglądana jest strona sklepu. Mechanizm działa nawet wtedy, gdy użytkownik nie słyszy żadnego dźwięku, a jego obecność została przypadkowo wykryta dzięki problemom ze słuchawkami Bluetooth.

Sprawę opisał deweloper Matt Callaghan. Zauważył, że po otwarciu strony AliExpress w Firefoksie lub Chrome jego słuchawki Bluetooth z funkcją multipoint przestawały poprawnie przełączać się pomiędzy komputerem i telefonem. Zamknięcie karty AliExpress natychmiast rozwiązywało problem, natomiast wyciszenie karty, przeglądarki lub systemu Windows nie pomagało.

Analiza kodu doprowadziła go do dwóch skryptów, collina.js oraz fireyejs.js, znajdujących się w infrastrukturze AliExpress. Oba tworzyły kontekst Web Audio i generowały falę dżwiękową. Sygnał był następnie analizowany, po czym trafiał do wyjścia audio przy ustawionym poziomie głośności równym zero. Użytkownik niczego więc nie słyszał, ale komputer nadal przetwarzał dźwięk.

To właśnie aktywny tor audio powodował problemy ze słuchawkami multipoint. Dla urządzenia komputer wyglądał tak, jakby cały czas odtwarzał dźwięk.

Nie tylko dźwięk. Skrypty zbierają znacznie więcej danych

Web Audio okazało się jedynie jednym z elementów większego mechanizmu. Według analizy Callaghana kod sprawdza również między innymi parametry ekranu, ilość pamięci urządzenia, liczbę rdzeni procesora, dostępne wtyczki, obsługiwane formaty multimedialne, WebGL, WebRTC, wydajność przeglądarki oraz zachowanie myszy, ekranu dotykowego i przewijania strony. Dane są następnie serializowane, szyfrowane i mogą być przesyłane do usług telemetrycznych Alibaba za pomocą mechanizmów fetch lub sendBeacon.

Taki zestaw informacji może posłużyć do stworzenia odcisku przeglądarki, który pomaga rozpoznawać urządzenie bez tradycyjnych plików cookie. Jednocześnie Callaghan podkreśla, że analiza kodu działającego po stronie użytkownika nie pozwala ustalić, co Alibaba robi z informacjami po odebraniu ich na swoich serwerach. Mechanizm może służyć do śledzenia urządzeń, ale równie dobrze może być elementem systemu przeciwdziałającego oszustwom, botom, automatycznym zakupom czy nadużywaniu promocji.

Firefox i Brave utrudniają fingerprinting audio

Sprawę przeanalizował również Tom Ritter, deweloper Firefoksa. Według niego fingerprinting oparty wyłącznie na Web Audio jest obecnie mało skuteczny w tej przeglądarce. Od Firefoksa 118, wydanego w 2023 roku, Mozilla ogranicza różnice w wynikach przetwarzania Web Audio, które wcześniej mogły pomagać w identyfikowaniu urządzeń. Ritter wskazuje, że niemal wszyscy użytkownicy trafiają obecnie do zaledwie kilku grup wyników, zależnych głównie od architektury procesora.

Mozilla stosuje również szerszy zestaw zabezpieczeń przeciwko fingerprintingowi, ograniczając zakres informacji udostępnianych stronom internetowym. Brave wykorzystuje z kolei technikę losowego modyfikowania części danych dostępnych przez Web Audio i inne interfejsy przeglądarki. Dzięki temu ta sama maszyna może przedstawiać stronom różne odciski w kolejnych sesjach.

Odkrycie nie dowodzi więc, że AliExpress może jednoznacznie rozpoznać każdy komputer za pomocą dźwięku. Pokazuje jednak, jak rozbudowane techniki identyfikacji urządzeń mogą działać w tle zwykłej strony sklepu internetowego, bez widocznego odtwarzania multimediów i bez oczywistego sygnału dla użytkownika.