Застаріла техніка? Так. І досі моторошна? Теж так.
Китайський рітейлер AliExpress був викритий у створенні відбитків відвідувачів за допомогою застарілої техніки, яка вимірює нечутні звуки, що надсилаються до браузерів. Ця техніка завадила досліднику використовувати свої Bluetooth-навушники.
Дослідник Метью Келлаган розповів, що випадково виявив це непомітне відстеження. Після завантаження головної сторінки AliExpress аудіо з його телефону припинило відтворюватися через його мультипойнт-навушники, які приймають з’єднання з кількох пристроїв одночасно. Він налаштував навушники так, щоб вони відтворювали звуки з телефону, але вимикалися, коли комп’ютер відтворював аудіо. Щоразу, коли він завантажував AliExpress, аудіо з телефону вимикалося. Щоразу, коли він закривав вкладку з цим сайтом, звук з телефону знову ставав чутним.
Користувачі не чують, але браузери — так
Досліджуючи цю дивну поведінку, Келлаган виявив два сильно заплутаних скрипти. Разом вони створювали графік, який аналізував дані WebAudio кожного браузера відвідувача. Цей графік діяв як осцилятор, що вимірював пилкоподібні хвилі, які часто зустрічаються в цифровому аудіо.
«Осцилятор генерує відому форму хвилі, — написав Келлаган. — Аналізатор вимірює результат після того, як він пройшов через аудіореалізацію браузера, а скрипт зчитує дані частоти з нього».
Скрипти встановлювали посилення на нуль, щоб запобігти будь-якому звуку. Однак, оскільки графік залишався підключеним до вибраного системного аудіо, браузер продовжував його обробляти і зрештою надсилав дані до AliExpress.
Раніше варіативність у різних математичних бібліотеках, які використовуються під час відтворення аудіо через браузери, була достатньо високою, щоб створити величезну кількість унікальних підписів у поєднанні з різними процесорами та іншими системними відмінностями. Після того, як техніка аудіо-фінгерпринтингу стала добре відомою, Firefox запровадив виправлення, починаючи з версії 118, випущеної у 2023 році. З того часу браузер використовує власні унікальні математичні бібліотеки замість тих, що постачаються з операційною системою. Том Ріттер, розробник Firefox, який також співпрацював з Tor Project, зазначив, що перехід на постійні бібліотеки зменшив ентропію достатньо, щоб зупинити роботу цієї техніки.
Ця техніка неефективна в Chrome, оскільки він також постачається з власними бібліотеками, повідомив представник Google. Користувачі Safari, ймовірно, в безпеці з тієї ж причини, хоча Apple поки що не підтвердила це.
Артефакт минулих років
Використання AliExpress застарілого методу фінгерпринтингу викликає запитання: навіщо він це робить? Ймовірна відповідь пов’язана з більш ніж десятком інших методів фінгерпринтингу, які використовує онлайн-рітейлер. Келлаган зазначив, що інші методи включали:
- Рендеринг canvas і toDataURL()
- Інформація про WebGL-рендерер, розширення та точність шейдерів
- Вихід осцилятора та аналізатора аудіо
- Розміри екрана та вікна перегляду
- Коефіцієнт масштабування пікселів дисплея
- Апаратна конкурентність та пам’ять пристрою
- Встановлені плагіни браузера
- Підтримувані аудіо- та відеоформати
- Поведінка WebRTC
- Час виконання браузера
- Події миші, дотику, фокусування та прокрутки
- Рух та орієнтація пристрою
- Властивості, що зазвичай асоціюються з автоматизацією браузера
Ймовірно, трюк з веб-аудіо є залишком попередніх років, і його ніхто не помічав до цього часу.
Приємно знати, що розробники браузерів вжили запобіжних заходів. Водночас, поки що не зрозуміло, наскільки ефективними є інші метрики, які використовує AliExpress. Ще менш втішає те, що майже напевно тисячі сайтів використовують подібне відстеження. Розробники браузерів перебувають у динамічній гонці з видавцями сайтів, які постійно шукають нові способи подолати останні захисні механізми.
За даними порталу: arstechnica.com