Разработчик Мэтт Каллаган (известный под ником Laserphile) случайно разоблачил скрытую систему слежки на сайте AliExpress. История началась с мелкой технической проблемы с наушниками, а закончилась обнаружением сложной схемы цифрового отпечатка устройства (device fingerprinting).
Как всё началось
У Каллагана беспроводные наушники с поддержкой Bluetooth Multipoint — они могут одновременно держать подключение к компьютеру и смартфону, автоматически переключаясь между источниками звука. Обычно приоритет был у компьютера, а телефон воспроизводил музыку только тогда, когда на ПК ничего не звучало.
Однако каждый раз, когда разработчик открывал главную страницу AliExpress в Firefox или Chrome, музыка с телефона обрывалась и больше не восстанавливалась, пока вкладка оставалась открытой. Закрытие вкладки мгновенно всё исправляло. При этом глушение звука самой вкладки, браузера или даже системного звука в Windows не давало никакого эффекта — ведь на странице не было ни одного видимого медиаэлемента, который можно было бы заглушить.
Что показало расследование
Углубившись в код страницы, Каллаган обнаружил два обфусцированных (намеренно запутанных) скрипта — collina.js и fireyejs.js, принадлежащих антифрод-системе Alibaba (AWSC). Через несколько секунд после загрузки страницы они создавали скрытые объекты AudioContext через Web Audio API браузера.
Эти скрипты строили небольшой, но эффективный аудиографик: генератор пилообразного сигнала проходил через анализирующий узел, затем — через узел с нулевым усилением (gain), и в итоге подключался к аудиовыходу устройства. Из-за этого запускалась реальная обработка звука — невидимая и неслышимая для пользователя, без каких-либо медиаэлементов на странице и нечувствительная к обычному отключению звука.
Именно потому, что аудиоканал технически оставался активным, операционная система не позволяла Bluetooth-наушникам переключиться обратно на телефон — «занятый» аудиовыход воспринимался как активное воспроизведение звука на компьютере.
Зачем это нужно AliExpress
По результатам дальнейшей проверки выяснилось, что скрытая обработка аудиосигнала — лишь часть гораздо более широкого механизма сбора данных. Те же скрипты измеряли параметры рендеринга Canvas, данные WebGL, характеристики аппаратного обеспечения, размер экрана, данные WebRTC, движения мыши и касания, а также признаки автоматизации браузера. Всё это формирует детальный цифровой «отпечаток» конкретного устройства, который передается на серверы телеметрии Alibaba.
В отличие от файлов cookie, которые легко удалить или заблокировать, аппаратные особенности устройства изменить значительно сложнее — поэтому такой метод слежки является более устойчивым и позволяет узнавать пользователя даже без сохранения традиционных идентификаторов.
Официальных комментариев относительно целей и масштабов использования этой технологии AliExpress пока не предоставил. Связь скриптов с системами безопасности Alibaba намекает на возможную роль в борьбе с мошенничеством, однако это не исключает и параллельного использования для маркетингового трекинга. Неясно также, насколько широко подобная техника применяется на других сайтах компании.
Как от этого защититься
- Браузер Brave уже более шести лет имеет встроенную защиту от аудио-фингерпринтинга по умолчанию — он изменяет выходные аудиоданные так, что разные сайты получают несовместимые между собой сигналы вместо стабильного уникального идентификатора. Компания подтвердила, что ее браузер блокирует именно эти скрипты AliExpress, а затем распространила аналогичную защиту и на GPU-фингерпринтинг.
- uBlock Origin — сам исследователь решил проблему, добавив два собственных правила для блокировки collina.js и fireyejs.js, после чего скрытые аудиоконтексты перестали создаваться.
Більше новин в телеграмі
