AliExpress stránka potichu vytvára odtlačok vášho počítača, prezradili ju Bluetooth slúchadlá

Na AliExpresse sa podarilo odhaliť zaujímavý systém na rozpoznávanie zariadení, ktorý využíva aj zvukový systém počítača. Nejde pritom o odpočúvanie používateľov ani prehrávanie skrytých zvukov. Stránka na pozadí využíva WebAudio API na vytvorenie digitálneho odtlačku zariadenia. Celý systém bol pritom odhalený prakticky náhodou, keď používateľovi začali zvláštne fungovať Bluetooth slúchadlá.

Vývojár používajúci Bluetooth slúchadlá s podporou multipoint pripojenia si všimol, že po otvorení AliExpressu sa mu prestali automaticky prepínať medzi počítačom a mobilom. Telefón sa síce k slúchadlám pripojil, ale zvuk zostával rezervovaný pre počítač. Stačilo však zavrieť kartu s AliExpressom a všetko začalo okamžite fungovať.

Keďže na stránke nebolo spustené žiadne video ani hudba, začal zisťovať, čo sa deje na pozadí. Nakoniec našiel dva skripty, collina.js a fireyejs.js, ktoré vytvárali vlastné objekty AudioContext. Tie cez WebAudio API vytvorili oscilátor a ďalšie prvky zvukového reťazca, pričom výsledný výstup mal hlasitosť nastavenú na nulu. Používateľ tak nič nepočul, ale pre operačný systém a Bluetooth slúchadlá zostávala zvuková cesta aktívna.

Práve tento vedľajší efekt celý systém prezradil. Bluetooth slúchadlá totiž nerozhodujú podľa toho, či používateľ reálne niečo počuje, ale podľa toho, či zariadenie používa audio výstup. AliExpress ho držal aktívny, a preto slúchadlá nechceli uvoľniť počítač a prepnúť prehrávanie na telefón.

AliExpress si vytvára odtlačok zariadenia

Dôvodom použitia WebAudio API je s veľkou pravdepodobnosťou browser fingerprinting, teda vytváranie odtlačku zariadenia bez toho, aby bolo potrebné spoliehať sa iba na cookies. Rôzne procesory, operačné systémy a implementácie prehliadačov môžu pri spracovaní rovnakých výpočtov produkovať mierne odlišné výsledky. Tie sa dajú použiť ako jedna z charakteristík zariadenia.

Samotný zvuk však nie je jediným zdrojom údajov. Skripty podobného typu dokážu kombinovať množstvo informácií dostupných cez prehliadač, napríklad parametre obrazovky, počet procesorových vlákien, dostupnú pamäť zariadenia, Canvas, WebGL, vlastnosti GPU, podporované multimediálne formáty, WebRTC alebo správanie používateľa. Spojením množstva relatívne nevýrazných údajov môže vzniknúť pomerne presný odtlačok konkrétneho zariadenia.

Treba preto spresniť tvrdenia, ktoré sa začali šíriť na sociálnych sieťach. AliExpress nezískava informácie o RAM, obrazovke alebo sieti zo zvukových vĺn. WebAudio je iba jednou časťou oveľa väčšieho systému fingerprintingu a ostatné údaje sa zisťujú prostredníctvom ďalších webových API.

Nie je to úplne nový problém

Zaujímavé je, že podobné správanie AliExpressu bolo zaznamenané už pred dvoma rokmi. Mozilla má stále otvorenú chybu týkajúcu sa AliExpressu, pri ktorom WebAudio držalo vo Windows aktívny audio stream napriek tomu, že stránka žiadny zvuk neprehrávala.

Výsledkom bolo dokonca to, že Windows odmietal automaticky uspať počítač. Vývojár Mozilly Karl Tomlinson pri analýze vtedy uviedol, že použitie WebAudio API na stránke vyzeralo prakticky zbytočne, pokiaľ nebolo určené na fingerprinting. V logoch našiel oscilátor pripojený k analyzátoru, procesoru zvuku a následne k výstupu s nulovou hlasitosťou.

Alibaba má aj celý systém na identifikáciu zariadení

Fingerprinting pritom nie je pre Alibabu neznáma technológia. Alibaba Cloud ponúka vlastnú službu Device Fraud Detection, určenú na identifikáciu podozrivých zariadení pri prihlasovaní, registráciách, platbách alebo marketingových akciách.

Jej Web/H5 SDK sa vloží priamo do stránky a podľa oficiálnej dokumentácie zbiera fingerprint zariadenia a vytvára deviceToken. Ten sa následne odošle na server, kde Alibaba vyhodnotí riziko daného zariadenia a môže mu priradiť rizikové označenia alebo skóre.

Alibaba dokonca uvádza, že po inicializácii SDK treba približne tri sekundy počkať pred získaním tokenu, pretože na pozadí prebieha detekcia prostredia, zber fingerprintu a komunikácia so serverom. Vytvorený deviceToken môže zostať platný sedem dní.

Nie je však potvrdené, že komerčný Device Fraud Detection SDK Alibaba Cloud je presne rovnaký systém ako skripty collina.js a fireyejs.js používané AliExpressom. Ukazuje však, že vytváranie odtlačkov zariadení Alibaba aktívne používa a ponúka aj ďalším firmám ako bezpečnostnú a anti-fraud technológiu.

Samotné WebAudio už veľmi presný odtlačok nevytvorí

Celá situácia má ešte jednu zaujímavú stránku. Vývojár Firefoxu Tom Ritter sa na konkrétny systém AliExpressu pozrel a upozornil, že WebAudio fingerprinting samotný už dnes nie je príliš účinný.

Firefox od verzie 118 výrazne obmedzuje rozdiely vo výsledkoch WebAudio výpočtov. Podľa telemetrie Mozilly patrí 99,24 % používateľov iba do troch skupín výsledkov, ktoré sú navyše do veľkej miery dané architektúrou procesora. WebAudio tak samo osebe nedokáže spoľahlivo identifikovať konkrétny počítač.

To však neznamená, že fingerprinting nefunguje. Jeho sila spočíva práve v kombinovaní množstva údajov. Audio môže prezradiť jednu vlastnosť, WebGL ďalšiu, Canvas inú a k nim sa pridajú údaje o obrazovke, procesore či správaní prehliadača. Výsledkom môže byť odtlačok, podľa ktorého stránka dokáže zariadenie opakovane rozpoznať aj bez klasických cookies.

V tomto prípade bol pritom celý komplikovaný systém odhalený vďaka úplne obyčajnému vedľajšiemu efektu. AliExpress síce svoj zvukový test stíšil na nulu, ale zabudol na to, že Bluetooth slúchadlá si všimnú aj zvuk, ktorý nikto nepočuje.