Чи застаріла ця техніка? Так. Чи залишається вона моторошною? Також так.
Китайський рітейлер AliExpress був викритий у зборі відбитків відвідувачів після того, як один з показників — застаріла техніка, що вимірює нечутні звуки, які надсилаються до браузерів — завадив досліднику використовувати свої Bluetooth-навушники.
Дослідник Метью Каллаган розповів, що натрапив на приховане відстеження випадково. Після завантаження головної сторінки AliExpress звук з його телефону припинив відтворюватися через його мультипойнт-навушники, які приймають з’єднання з кількох пристроїв одночасно. Він налаштував навушники так, щоб вони відтворювали звук з телефону, окрім випадків, коли його ПК генерував аудіо. Щоразу, коли він завантажував AliExpress, звук телефону зупинявся. Щоразу, коли він закривав вкладку, де було завантажено сайт, звук телефону знову ставав чутним.
Користувачі не чують, але браузери — так
Досліджуючи дивну поведінку, Каллаган виявив два сильно зашифрованих скрипти. Разом вони створювали графік, який аналізував показники WebAudio кожного браузера, що відвідував сторінку. Цей графік діяв як осцилятор, що вимірював пилкоподібні хвилі, які часто зустрічаються у вихідних даних цифрового аудіо.
«Осцилятор генерує відому форму хвилі, — написав Каллаган. — Аналізатор вимірює результат після того, як він пройшов через аудіореалізацію браузера, а скрипт читає дані про частоту з нього».
Скрипти встановлювали коефіцієнт посилення на нуль, щоб користувачі нічого не чули. Але оскільки графік залишається підключеним до вибраного системного аудіо, браузер продовжує його обробляти і, зрештою, надсилає його до AliExpress.
Варіативність у різних математичних бібліотеках, які використовуються під час відтворення аудіо через браузери, колись була достатньо високою, щоб забезпечити величезну кількість унікальних і відмінних сигнатур, коли вони поєднувалися з різними ЦП та іншими системними відмінностями. Після того, як техніка аудіо-саундпринтингу стала широко відомою, Firefox впровадив виправлення, починаючи з версії 118, випущеної у 2023 році. З того часу браузер використовує власні унікальні математичні бібліотеки, замість того, щоб покладатися на ті, що постачалися з ОС, на якій він працював. Том Ріттер, розробник Firefox, який також був волонтером у Tor Project, заявив, що перехід на постійні бібліотеки зменшив ентропію настільки, щоб зупинити роботу цієї техніки.
Ця техніка неефективна в Chrome, оскільки він також постачається з власними бібліотеками, повідомив представник Google. Користувачі Safari, ймовірно, в безпеці з тієї ж причини, хоча Apple не надала негайного підтвердження.
Артефакт минулих років
Використання AliExpress застарілого методу збору відбитків ставить запитання: навіщо він це робить? Ймовірна відповідь пов’язана з більш ніж десятком інших методів збору відбитків, які використовує онлайн-рітейлер. Каллаган зазначив, що інші методи включали:
- Рендеринг canvas та toDataURL()
- Інформація про WebGL-рендер, розширення та точність шейдерів
- Вихідні дані аудіо-осцилятора та аналізатора
- Розміри екрана та вікна перегляду
- Коефіцієнт масштабування пікселів пристрою
- Апаратна паралельність та пам’ять пристрою
- Встановлені плагіни браузера
- Підтримувані аудіо- та відеоформати
- Поведінка WebRTC
- Таймінги продуктивності браузера
- Події миші, дотику, фокуса та прокрутки
- Рух та орієнтація пристрою
- Властивості, що часто асоціюються з автоматизацією браузера
Ймовірно, трюк з веб-аудіо є залишком минулих років, і його ніхто не помітив до цього часу.
Втішає знати, що розробники браузерів вжили запобіжних заходів. Водночас, ще не зовсім зрозуміло, наскільки ефективними є решта показників, які використовує AliExpress. Ще менш заспокійливим є той факт, що майже напевно тисячі сайтів використовують подібні методи відстеження. Розробники браузерів перебувають у динамічній гонці з видавцями сайтів, які постійно шукають нові способи подолати останні захисні заходи.
Ден Гудін
Старший редактор з питань безпеки
Ден Гудін є старшим редактором з питань безпеки в Ars Technica, де він відповідає за висвітлення тем шкідливого програмного забезпечення, комп’ютерного шпигунства, ботнетів, апаратного злому, шифрування та паролів. У вільний час він захоплюється садівництвом, кулінарією та сценою незалежної музики. Ден проживає в Сан-Франциско. Стежте за ним тут на Mastodon та тут на Bluesky. Зв’яжіться з ним через Signal за номером DanArs.82.
65 коментарів
Оригінал статті: arstechnica.com