Розробник Метт Каллаган (відомий також під ніком Laserphile) випадково викрив приховану систему стеження на сайті AliExpress. Історія почалася з дрібної технічної проблеми з навушниками, а закінчилася виявленням складної схеми цифрового відбитку пристрою (device fingerprinting).
AliExpress таємно “слухав” користувачів через аудіосистему браузера — що з’ясувалося
У Каллагана бездротові навушники з підтримкою Bluetooth Multipoint — вони можуть одночасно триматися підключеними до комп’ютера й смартфона та автоматично перемикатися між джерелами звуку. Зазвичай пріоритет мав комп’ютер, а телефон грав музику, коли на ПК нічого не відтворювалося.
Але щоразу, коли розробник відкривав головну сторінку AliExpress у Firefox або Chrome, музика з телефону обривалася й більше не відновлювалася, поки вкладка залишалася відкритою. Закриття вкладки миттєво все виправляло. При цьому вимкнення звуку самої вкладки, браузера чи навіть системного звуку у Windows жодного ефекту не давало — оскільки на сторінці не було жодного видимого медіаелемента, який можна було б заглушити.
Що показало розслідування
Заглибившись у код сторінки, Каллаган виявив два обфусковані (навмисно заплутані) скрипти — **collina.js** та **fireyejs.js**, що належать до антифрод-системи Alibaba (AWSC). Через кілька секунд після завантаження сторінки вони створювали приховані об’єкти AudioContext через Web Audio API браузера.
Ці скрипти будували невеликий, але дієвий аудіографік: генератор пилкоподібного сигналу, який проходив через аналізуючий вузол, а потім — через вузол з нульовим підсиленням (gain), і зрештою підключався до аудіовиходу пристрою. Через це запускалася реальна обробка звуку — невидима й нечутна для користувача, без жодних медіаелементів на сторінці й нечутлива до звичайного вимкнення звуку.
Саме тому, що аудіоканал технічно залишався активним, операційна система не дозволяла Bluetooth-навушникам перемкнутися назад на телефон — адже “зайнятий” аудіовихід сприймався як активне відтворення звуку на комп’ютері.
Навіщо це потрібно AliExpress
За результатами подальшої перевірки з’ясувалося, що прихована обробка аудіосигналу — лише частина набагато ширшого механізму збору даних. Ті самі скрипти також вимірювали параметри рендерингу Canvas, дані WebGL, характеристики апаратного забезпечення, розмір екрана, дані WebRTC, рухи миші й дотики, а також ознаки автоматизації браузера. Усе це формує детальний цифровий “відбиток” конкретного пристрою, який передається на сервери телеметрії Alibaba.
На відміну від файлів cookie, які легко видалити або заблокувати, апаратні особливості пристрою змінити значно складніше — тому такий метод стеження є більш стійким і дозволяє впізнавати користувача навіть без збереження традиційних ідентифікаторів.
Офіційних коментарів щодо мети й масштабів використання цієї технології AliExpress поки не надав. Зв’язок скриптів із системами безпеки Alibaba натякає на можливу роль у боротьбі з шахрайством, однак це не виключає й паралельного використання для маркетингового трекінгу. Незрозуміло також, наскільки широко подібна техніка застосовується на інших сайтах компанії.
Як від захиститися від стеження
Браузер Brave вже понад шість років має вбудований захист від аудіо-фінгерпринтингу за замовчуванням — він змінює вихідні аудіодані так, що різні сайти отримують несумісні між собою сигнали замість стабільного унікального ідентифікатора. Компанія підтвердила, що її браузер блокує саме ці скрипти AliExpress, і згодом поширила подібний захист і на GPU-фінгерпринтинг.
uBlock Origin — сам дослідник вирішив проблему, додавши два власні правила для блокування collina.js та fireyejs.js, після чого приховані аудіоконтексти перестали створюватися.
Джерела: theregister.com, techspot.com, daily.dev
Більше новин в телеграмі
