На головній сторінці AliExpress працювали приховані сценарії, які запускали у браузері беззвучну обробку аудіосигналу для формування цифрового відбитка пристрою. Про це повідомляє видання TechSpot.
Дивний збій навів на слід
Помітити механізм вдалося цілком випадково – розробник під псевдонімом laserphile звернув увагу на дивну поведінку своїх Bluetooth-навушників, здатних одночасно підключатися до кількох пристроїв. Щойно у Firefox чи Chrome відкривалася сторінка AliExpress, навушники переставали автоматично перемикатися між комп'ютером і смартфоном. Проблема зникала одразу після закриття вкладки. Водночас вимкнення звуку в самій вкладці, браузері чи операційній системі жодного ефекту не давало.
Як саме працював механізм
Подальший аналіз показав, що за дивну поведінку відповідали два скрипти – collina.js та fireyejs.js. Вони створювали приховані об'єкти AudioContext через Web Audio API, генерували штучний сигнал, обробляли його і виводили на аудіовихід із нульовою гучністю. Людина нічого не чула, проте операційна система фіксувала звуковий канал як активний. Саме це й блокувало перемикання навушників.
Важливо, що сайт не отримував доступу до мікрофона і не записував жодних розмов. Натомість скрипти аналізували, як конкретне поєднання браузера, процесора, аудіочипа, драйверів і операційної системи обробляє один і той самий тестовий сигнал. Найменші відхилення в результатах дозволяють з високою точністю відрізнити один пристрій від іншого.
Не лише аудіо
Окрім звукового тесту, скрипти паралельно збирали інформацію про роботу графіки через Canvas і WebGL, роздільну здатність екрана, обсяг оперативної пам'яті, кількість процесорних потоків, підтримувані формати медіа, особливості WebRTC, встановлені розширення, а також рухи курсора, дотики й прокручування сторінки. Така комбінація параметрів формує значно надійніший цифровий відбиток, ніж один лише аудіотест. Адже дозволяє впізнавати браузер користувача навіть після очищення cookie-файлів або в приватному режимі перегляду.
Для чого це могло використовуватися
Автор дослідження зазначив, що не зміг встановити, як саме компанія розпоряджається зібраними профілями після їх передачі на сервери. Обидва скрипти належать до частини інфраструктури Alibaba, пов'язаної з протидією шахрайству. Тож подібні технології зазвичай застосовують для виявлення ботів, автоматизованого парсингу цін, підозрілих транзакцій чи масового створення фейкових акаунтів. Проблема в тому, що процес відбувається непомітно для користувача, який фактично позбавлений можливості відмовитися від такого аналізу.
Реакція браузерів і подальший контекст
У Brave повідомили, що їхній браузер вже блокує виявлені скрипти AliExpress і спотворює результати аудіотестів, не даючи сайту отримати стабільний ідентифікатор пристрою. Частково зменшити збір даних можуть і блокувальники на кшталт uBlock Origin, хоча їхні фільтри іноді конфліктують із платіжними чи антифрод-функціями сайтів. Firefox нещодавно підтвердила, що збереже повноцінну підтримку uBlock Origin, тоді як браузери на Chromium поступово переходять на обмеженішу платформу розширень Manifest V3.
Сама компанія AliExpress та материнська Alibaba поки що не надали жодних коментарів щодо результатів дослідження. Раніше правозахисна організація noyb вже звинувачувала AliExpress та ще п'ять китайських компаній у незаконній передачі персональних даних європейських користувачів до Китаю.