AliExpress скрыто собирал данные о пользователях
Разработчик Мэтт Каллаган обнаружил на сайте AliExpress необычные скрипты, которые незаметно запускают обработку аудио средствами браузера и собирают множество характеристик устройства. Такая техника потенциально может использоваться для создания уникального цифрового отпечатка браузера.
Изображение сгенерировано GeminiОбнаружить скрытую активность помогла случайность. Каллаган заметил, что после открытия AliExpress на компьютере его Bluetooth-наушники с поддержкой одновременной работы нескольких устройств переставали воспроизводить музыку со смартфона. Закрытие вкладки немедленно устраняло проблему, хотя никакого видео или звука на странице не воспроизводилось. Не помогало даже отключение звука вкладки, браузера или Windows.
Разработчик исследовал Web Audio API и выяснил, что через несколько секунд после загрузки AliExpress создаёт активный AudioContext. Два обнаруженных скрипта — collina.js и fireyejs.js — предположительно относятся к системам безопасности и защиты от злоупотреблений Alibaba.
Скрипты создают осциллятор и пропускают его через аудиосистему браузера. После этого анализатор измеряет получившиеся частотные характеристики. При этом коэффициент громкости устанавливается в ноль, поэтому пользователь ничего не слышит, хотя браузер продолжает выполнять обработку звука.
Именно этим объясняется необычное поведение Bluetooth-наушников. Компьютер сохраняет активным аудиоканал, из-за чего гарнитура воспринимает его как источник звука и не переключается обратно на смартфон. Поскольку обычный HTML-медиаэлемент при этом не используется, стандартное отключение звука вкладки не останавливает процесс.
Подобный анализ Web Audio известен как один из способов сбора цифровых отпечатков браузера. Различия в реализации аудиосистемы, аппаратном обеспечении и обработке сигнала позволяют получать дополнительные параметры, которые в сочетании с другими характеристиками помогают отличать одно устройство от другого.
Каллаган также обнаружил сбор сведений о разрешении экрана, объёме памяти устройства, браузерных плагинах, WebGL, поддерживаемых аудио- и видеоформатах и даже движениях мыши. По его анализу, собранная информация шифруется и отправляется телеметрическим сервисам Alibaba через стандартные браузерные механизмы fetch () или sendBeacon ().
Разработчики браузеров уже внедряют защиту от таких методов идентификации. Например, он реализован в Firefox с версии 118. Brave также заявляет о защите по умолчанию: браузер вносит случайные изменения в аудиоданные, чтобы получаемый сайтами цифровой отпечаток менялся от сеанса к сеансу.
© iXBT
