Te mikroskopijne odchylenia – zależne od procesora, układów audio, systemu operacyjnego, sterowników i przeglądarki – tworzyły unikalny wzorzec, który można traktować jak odcisk palca urządzenia. Co istotne, nie wymagało to użycia plików cookie ani jakiejkolwiek interakcji po stronie użytkownika.
Sprawa wyszła na jaw przypadkiem, gdy jeden z deweloperów zauważył, że jego słuchawki Bluetooth nie przełączają się poprawnie między komputerem a telefonem, kiedy w przeglądarce otwarta była karta z AliExpress. Po jej zamknięciu problem znikał. Analiza kodu ujawniła, że serwis generował dźwięk o zerowej głośności, który mimo to utrzymywał aktywny sygnał audio. Co więcej, wyciszenie karty nie zatrzymywało procesu – przeglądarka nadal przetwarzała sygnał.
Audio było tylko jednym z elementów większego mechanizmu zbierania danych. Skrypty gromadziły również informacje o renderowaniu canvas, WebGL, ustawieniach wyświetlania, konfiguracji sprzętu, zachowaniu WebRTC oraz interakcjach użytkownika. Połączone w całość pozwalały stworzyć bardzo szczegółowy profil urządzenia, znacznie bardziej precyzyjny niż tradycyjne metody oparte na pojedynczych parametrach.
Tego typu fingerprinting bywa wykorzystywany przez duże platformy do wykrywania oszustw, botów i podejrzanych aktywności, zwłaszcza gdy użytkownicy usuwają ciasteczka lub zmieniają konta. Jednak dla obrońców prywatności to poważny problem – takie działania są niewidoczne, trudne do zablokowania i odbywają się bez świadomej zgody użytkownika.
Na zachowanie AliExpress jako pierwsza zwróciła uwagę przeglądarka Brave, która od lat stosuje mechanizmy utrudniające fingerprinting audio. Brave modyfikuje wybrane sygnały przeglądarki, aby strony otrzymywały niespójne dane, uniemożliwiając stworzenie stabilnego identyfikatora. Twórcy przeglądarki rozszerzyli też ochronę na fingerprinting GPU, który wykorzystuje zachowanie układów graficznych i sterowników do identyfikacji urządzeń. Według Brave techniki śledzenia będą się rozwijać, bo platformy nieustannie szukają nowych sposobów identyfikowania użytkowników.
Osoby korzystające z innych przeglądarek mogą próbować blokować takie skrypty za pomocą rozszerzeń typu uBlock Origin, choć może to wpływać na działanie funkcji bezpieczeństwa AliExpress, które wykorzystują te same mechanizmy do oceny ryzyka i zapobiegania nadużyciom.
Źródło: techspot.com
