AliExpress заметили за аудио-фингерпринтингом браузеров

Что произошло

AliExpress был замечен в использовании фингерпринтинга посетителей через WebAudio: один из параметров отслеживания измерял неслышимые звуки, отправляемые в браузер.

Исследователь Matthew Callaghan рассказал, что обнаружил это случайно. После загрузки главной страницы AliExpress звук с телефона переставал играть в его мультипоинт-наушниках, а после закрытия вкладки снова становился слышен.

Как работала проверка

При изучении странного поведения Callaghan нашел два сильно обфусцированных скрипта. Вместе они строили граф, который анализировал показания WebAudio каждого посещающего браузера.

Этот граф работал как осциллятор и измерял пилообразные волны, часто встречающиеся в цифровом аудиовыводе. По описанию Callaghan, осциллятор создавал известную форму волны, анализатор измерял результат после прохождения через аудиореализацию браузера, а скрипт считывал частотные данные.

Скрипты выставляли усиление на ноль, чтобы пользователь ничего не слышал. Однако граф оставался подключенным к выбранному системному аудио, поэтому браузер продолжал его обрабатывать и в итоге отправлял данные AliExpress.

Почему метод стал менее эффективным

Раньше различия в математических библиотеках, которые используются при генерации аудио в браузерах, вместе с различиями в CPU и других компонентах системы могли давать большое количество уникальных сигнатур.

После того как метод аудио-фингерпринтинга стал известен, Firefox внедрил исправление начиная с версии 118, выпущенной в 2023 году. Браузер стал использовать собственные математические библиотеки вместо библиотек операционной системы.

Разработчик Firefox Tom Ritter, также участвовавший в Tor Project, заявил, что переход к постоянным библиотекам снизил энтропию настолько, что метод перестал работать.

Что это значит для пользователей

В Chrome этот прием, по словам представителя Google, неэффективен, потому что браузер также поставляется с собственными библиотеками. Пользователи Safari, вероятно, защищены по той же причине, хотя Apple это сразу не подтвердила.

Источник допускает, что трюк с WebAudio мог остаться с прошлых лет и до сих пор просто не был замечен. При этом остается неясным, насколько эффективны другие метрики, которые использует AliExpress.