AliExpress тайно е пускал аудиофайлове в браузърите за проследяване и идентифициране на устройствата

Тъй като „бисквитките“ се превръщат във все по-ненадежден начин за проследяване на потребителите в интернет, AliExpress показва докъде са готови да стигнат компаниите, за да запълнят тази празнина. Изследователи откриха код на началната страница на сайта, който стартира скрити аудио процеси в браузъра. Свързани със системите за сигурност на Alibaba, скриптовете използват аудио хардуера на самото устройство, за да генерират сигнал и да измерват специфичните за устройството нюанси в начина, по който той се връща, създавайки нещо, подобно на „пръстов отпечатък“ - сигнатура, който не се нуждае от нито една бисквитка, за да работи. Това е вид проследяване, което потребителят никога не би забелязал.

Проблемът излезе на бял свят едва след като един разработчик срещна затруднения при използването на мултипойнт Bluetooth слушалки, докато беше отворен прозорец с AliExpress: слушалките не превключваха коректно от компютъра към телефона. Веднага щом прозорецът беше затворен, проблемът изчезва.

Разглеждайки кода на сайта, разработчикът откри, че той използва Web Audio API за създаване на звукови графики, настроени на нулева сила на звука. Процесът не генерира доловим от човешкото ухо звук, но все пак се свързва със звуковата система на компютъра, поддържайки звуковия канал активен на заден план, което изглежда е попречило на възможността на слушалките да превключват устройствата.

Това не е вид аудиоактивност, свързана с обикновен медиен плейър. Тъй като графиката за обработка работи с нулево усилване и е била пряко свързана с аудиоизхода на системата, заглушаването на раздела в браузъра не е спряло процеса: браузърът е продължил да обработва сигнала, въпреки че не е имало нищо за чуване.

Същият код може да поддържа и „отпечатъци на браузъра“, техника, която събира специфичните за устройството данни и ги комбинира, за да разпознава даден браузър във времето. В този случай скриптовете са измервали минималните разлики в начина, по който дадено устройство обработва един и същ аудио сигнал, като тези разлики се определят от процесора на компютъра, аудио хардуера, операционната система, браузъра и драйверите.
Измерванията на аудиосигнала са само една част от събраните данни. Скриптовете събират също така информацията, свързана с рендирането на „canvas“, WebGL, настройките на дисплея, хардуерната конфигурация, поведението на WebRTC и взаимодействията на потребителя. Заедно тези сигнали могат да създадат по-подробен профил на дадено устройство, отколкото би предоставил всеки един сигнал поотделно.

„Сигнатурите“ често се използват от големите онлайн платформи за предотвратяване на измами, откриване на ботове и оценка на риска. Те могат да помогнат на компаниите да забележат подозрителни транзакции или автоматизирана дейност, когато „бисквитките“ са били изтрити или акаунтите са били променени. Защитниците на правото на неприкосновеност на личния живот обаче изразиха загриженост, тъй като потребителите може да не знаят, че се извършва проследяване, и имат ограничен контрол върху него.