Чи застаріла ця техніка? Так. Чи все ще моторошно? Теж так.
Китайський рітейлер AliExpress був спійманий на створенні цифрових відбитків відвідувачів після того, як один із показників — застаріла техніка, що вимірює нечутні звуки, які він надсилає браузерам — завадив досліднику використовувати свої Bluetooth-навушники.
Дослідник Метью Каллаган розповів, що натрапив на приховане відстеження випадково. Після завантаження головної сторінки AliExpress аудіо з його телефону припинило відтворюватися через його багатоточкові навушники, які приймають з’єднання з кількох пристроїв одночасно. Він налаштував навушники так, щоб вони відтворювали звук з телефону, за винятком випадків, коли комп’ютер відтворював аудіо. Щоразу, коли він завантажував AliExpress, телефонне аудіо припинялося. Щоразу, коли він закривав вкладку, на якій був завантажений сайт, телефон знову ставав чутним.
Користувачі не чують, але браузери можуть
Розслідуючи дивну поведінку, Каллаган виявив два сильно заплутані скрипти. Разом вони генерували графік, який аналізував показники WebAudio кожного браузера відвідувача. Цей графік діяв як осцилятор, який вимірював пилкоподібні хвилі, поширені у вихідних даних цифрового аудіо.
«Осцилятор генерує відому форму хвилі», — написав Каллаган. «Аналізатор вимірює результат після того, як він пройшов через аудіореалізацію браузера, і скрипт зчитує з нього дані частоти».
Скрипти встановлювали посилення на нуль, щоб запобігти будь-якому звуку для користувачів. Але оскільки графік все ще підключений до вибраного системного аудіо, браузер продовжує його обробляти і, зрештою, надсилає до AliExpress.
Варіативність у різних математичних бібліотеках, які використовуються під час відтворення аудіо через браузери, колись була достатньо високою, щоб надати величезну кількість унікальних відмінних сигнатур у поєднанні з різними процесорами та іншими системними відмінностями. Після того, як техніка аудіо-звукового відбитка стала широко відомою, Firefox запровадив виправлення, починаючи з версії 118, випущеної у 2023 році. З того часу браузер використовує власні унікальні математичні бібліотеки, а не покладається на ті, що постачаються з операційною системою, на якій він працює. Том Ріттер, розробник Firefox, який також співпрацював з Tor Project, сказав, що перехід до постійних бібліотек достатньо знизив ентропію, щоб зупинити роботу техніки.
Ця техніка неефективна в Chrome, оскільки він також постачається з власними бібліотеками, повідомив представник Google. Користувачі Safari, ймовірно, захищені з тієї ж причини, хоча Apple не одразу це підтвердила.
Артефакт минулих років
Використання AliExpress застарілого методу створення цифрових відбитків викликає питання: навіщо він це робить? Ймовірна відповідь пов’язана з більш ніж десятком інших методів створення цифрових відбитків, які використовує онлайн-рітейлер. Каллаган зазначив, що інші методи включали:
- Рендеринг canvas та toDataURL()
- Інформація про WebGL-рендерер, розширення та точність шейдерів
- Вихідні дані аудіо-осцилятора та аналізатора
- Розміри екрана та вікна перегляду
- Коефіцієнт масштабування пристрою
- Кількість апаратних потоків та пам’ять пристрою
- Встановлені плагіни браузера
- Підтримувані аудіо- та відеоформати
- Поведінка WebRTC
- Час роботи браузера
- Події миші, дотику, фокусування та прокручування
- Рух та орієнтація пристрою
- Властивості, зазвичай пов’язані з автоматизацією браузера
Цілком ймовірно, що цей трюк з веб-аудіо є залишком попередніх років, і ніхто не помітив його досі.
Втішає знання, що розробники браузерів вжили запобіжних заходів. Водночас, досі незрозуміло, наскільки ефективні інші показники, які використовує AliExpress. Ще менш заспокійливим є той факт, що майже напевно тисячі сайтів використовують подібне відстеження. Розробники браузерів перебувають у динамічній гонці з видавцями сайтів, які постійно шукають нові способи зламати останні захисти.
Інформація підготовлена на основі матеріалів: arstechnica.com