Prezradili ho až Bluetooth slúchadlá
Na prvý pohľad sa na stránke AliExpressu nič zvláštne nedeje. V pozadí však môže prebiehať proces, ktorý dokáže vytvárať digitálny odtlačok zariadenia. Zaujímavé je, že na jeho odhalenie tentoraz nebol potrebný bezpečnostný audit. Systém prezradili Bluetooth slúchadlá, ktoré sa začali správať neštandardne.
Slúchadlá upozornili na niečo, čo používateľ nevidel
Celý prípad sa začal pomerne nenápadne. Vývojár používal Bluetooth slúchadlá s podporou multipoint pripojenia, ktoré umožňuje byť súčasne pripojený k počítaču aj smartfónu.
Po otvorení AliExpressu však prestalo fungovať automatické prepínanie zvuku medzi zariadeniami. Telefón sa k slúchadlám síce pripojil, no zvuk zostával rezervovaný pre počítač. Keď používateľ kartu s AliExpressom zatvoril, problém okamžite zmizol.
Keďže na stránke nehralo žiadne video ani hudba, začal zisťovať, čo sa v prehliadači deje. Objavil pritom skripty collina.js a fireyejs.js, ktoré vytvárali zvukové objekty pomocou technológie WebAudio API.
Zvuk, ktorý nikto nepočul
Systém vytváral zvukový reťazec, no výsledný výstup mal nastavenú nulovú hlasitosť. Používateľ preto nič nepočul. Operačný systém a Bluetooth slúchadlá však zvukovú cestu stále vnímali ako aktívnu.
Práve tento vedľajší efekt celý systém odhalil. Slúchadlá totiž nereagovali na to, či človek zvuk reálne počuje, ale na to, či počítač používa audio výstup.
AliExpress si vytvára digitálny odtlačok
Podľa analýzy ide s veľkou pravdepodobnosťou o browser fingerprinting, teda techniku, ktorá umožňuje rozpoznať zariadenie aj bez klasických cookies.
WebAudio pritom predstavuje iba jednu časť celého systému. Webstránka môže kombinovať údaje o obrazovke, procesore, pamäti, grafickom čipe, Canvas, WebGL, podporovaných formátoch či ďalších vlastnostiach prehliadača. Spojením množstva drobných charakteristík môže vzniknúť pomerne presný profil konkrétneho zariadenia.
Dôležité je však jedno upresnenie. AliExpress nezískava údaje o RAM, obrazovke alebo sieti zo zvukových vĺn. WebAudio je iba jedným zo zdrojov a ďalšie informácie získavajú iné webové rozhrania.
Nie je to úplne nová záležitosť
Ako píše technologický portál TechSpot, podobné správanie AliExpressu sa objavilo už v minulosti. Mozilla eviduje problém, pri ktorom WebAudio na stránke udržiavalo vo Windows aktívny zvukový stream napriek tomu, že stránka nič neprehrávala.
V jednom prípade to dokonca spôsobovalo, že Windows odmietal počítač automaticky uspať.
Fingerprinting navyše nie je pre spoločnosť Alibaba neznámou technológiou. Alibaba Cloud ponúka službu Device Fraud Detection, ktorá dokáže identifikovať zariadenia pri prihlasovaní, registráciách alebo platbách a vytvárať takzvaný deviceToken. Nie je však potvrdené, že ide o rovnaký systém, aký používa priamo AliExpress.
Samotný zvukový odtlačok už nestačí
Zaujímavé je, že samotný WebAudio fingerprinting dnes nemusí byť veľmi presný. Firefox napríklad od verzie 118 výrazne obmedzuje rozdiely vo výsledkoch takýchto výpočtov.
Sila fingerprintingu preto spočíva najmä v kombinovaní viacerých údajov. Zvuk môže poskytnúť jednu charakteristiku, WebGL ďalšiu a informácie o obrazovke, procesore či prehliadači ďalšie. Výsledkom môže byť identifikovateľný odtlačok zariadenia aj bez použitia klasických cookies.
Celý prípad je tak zaujímavou ukážkou toho, ako môže technológia pracovať na pozadí bez toho, aby si používateľ čokoľvek všimol. V tomto prípade však AliExpress prezradil vlastný systém trochu nečakaný „informátor“. Bluetooth slúchadlá jednoducho odmietli ignorovať zvuk, ktorý človek vôbec nepočul.
