AliExpress признал сбор данных пользователей: что это значит для вас

В дополнение к цифровому отпечатку браузера собирались данные о разрешении экрана, объёме памяти, браузерных плагинах и даже движениях мыши

Разработчик Мэтт Каллаган обнаружил на сайте AliExpress необычные скрипты, которые незаметно инициируют обработку аудио средствами браузера и собирают множество характеристик устройства. Эта техника потенциально может быть использована для создания уникального цифрового отпечатка браузера.

Скрытую активность удалось выявить случайно. Каллаган заметил, что после открытия AliExpress на компьютере его Bluetooth-наушники с поддержкой многопоточности переставали воспроизводить музыку со смартфона. Закрытие вкладки немедленно решало проблему, хотя никакого видео или звука на странице не воспроизводилось. Даже отключение звука вкладки, браузера или Windows не помогало.

Разработчик исследовал Web Audio API и обнаружил, что вскоре после загрузки AliExpress создаётся активный AudioContext. Два обнаруженных скрипта — collina.js и fireyejs.js — вероятно, относятся к системам безопасности и защиты от злоупотреблений Alibaba.

Эти скрипты создают осциллятор и пропускают его через аудиосистему браузера. Затем анализатор измеряет полученные частотные характеристики. При этом уровень громкости устанавливается на ноль, поэтому пользователь ничего не слышит, хотя браузер продолжает обрабатывать звук.

Это и объясняет странное поведение Bluetooth-наушников. Компьютер поддерживает активным аудиоканал, из-за чего гарнитура воспринимает его как источник звука и не переключается обратно на смартфон. Поскольку обычный HTML-медиаэлемент здесь не используется, стандартное отключение звука вкладки не останавливает данный процесс.

Такой анализ Web Audio известен как один из методов сбора цифровых отпечатков браузера. Различия в реализации аудиосистемы, аппаратном обеспечении и обработке сигнала позволяют получать дополнительные параметры, которые в комбинации с другими характеристиками помогают отличать одно устройство от другого.

Каллаган также отметил сбор данных о разрешении экрана, объёме памяти устройства, браузерных плагинах, WebGL, поддерживаемых аудио- и видеоформатах и даже движениях мыши. По его исследованию, собранная информация шифруется и отправляется телеметрическим сервисам Alibaba через стандартные механизмы браузера fetch() или sendBeacon().

Разработчики браузеров уже внедряют защиту от таких методов идентификации. Например, она реализована в Firefox с версии 118. Brave также заявляет о защите по умолчанию: браузер вносит случайные изменения в аудиоданные, чтобы создаваемый сайтами цифровой отпечаток различался от сеанса к сеансу.