בעזרת טביעת קול: הדרך המתוחכמת של עליאקספרס לקבל מידע על המכשיר שלכם

מפתח שנתקל בתקלה מוזרה באוזניות הבלוטות' שלו חשף, לדבריו, שיטה מתקדמת שבה עליאקספרס משתמשת כדי לעקוב אחרי משתמשים. לפי פוסט שפרסם המפתח, שמזדהה בשם laserphile, אתר הקניות שבבעלות עליבאבא הפעיל ברקע מנגנון אודיו נסתר שיצר טביעת אצבע דיגיטלית למכשיר.

"זמן קצר אחרי טעינת עמוד הבית של עליאקספרס, השמע מהטלפון שלי הפסיק להתנגן. סגירת הטאב של עליאקספרס מתקנת את זה מיד", כתב laserphile בפוסט. לדבריו, האוזניות שלו תומכות ב-multipoint Bluetooth audio, טכנולוגיה המאפשרת לאוזניות או לרמקול אלחוטי להתחבר לשני מכשירים (כמו טלפון ומחשב) בו-זמנית, כך שהן יכולות למשל לנגן מוזיקה מהטלפון ולהשמיע התראות מהמחשב.

התקלה חזרה כשהאתר של עליאקספרס היה פתוח במחשב, בזמן שהוא ניסה להשמיע מוזיקה מהטלפון. "השתקת הטאב, ב-Firefox או ב-Windows לא עוזרת, ואין וידאו, מוזיקה או מדיה אחרת שנראים מתנגנים בעמוד. זה נראה מספיק חשוד כדי לבדוק", כתב.

בבדיקה של הקוד הנסתר באתר, laserphile מצא לדבריו סקריפטים שרצו ברקע והחזיקו את צינור השמע של המחשב פתוח. לפי הממצאים שלו, האתר השתמש ב-WebAudio API של הדפדפן כדי להריץ גלי קול בלתי נראים בעוצמת אפס, ואז למדוד הבדלים זעירים באופן שבו המחשב מעבד אותם. כך, לטענתו, נוצרה טביעת אצבע ייחודית למכשיר - בלי ידיעה או הסכמה של המשתמש.

המשתמשים לא מוקלטים, לפי הבדיקה שלו. השיטה מבוססת על השמעת צליל שקט ומדידת האופן שבו המכשיר מעבד אותו. במקרה של laserphile, אותו נתיב שמע נסתר גם הקפיא את חיבור ה-Bluetooth, בזמן שסקריפטים נוספים אספו ברקע מידע על זיכרון חומרה, ממדי מסך ונתוני רשת.

איסוף הנתונים, לדבריו, לא נעצר בשמע. בבדיקה נוספת נמצאו באותם סקריפטים מדידות של canvas, WebGL, מפרטי חומרה, WebRTC, אירועי עכבר ומגע וסימנים לאוטומציה. כל אלה מרכיבים טביעת אצבע רחבה יותר של המכשיר, שנשלחת לשרתי הטלמטריה של Alibaba.

"טביעת קול עובדת כי הבדלים קטנים בגרסאות דפדפן, מערכות הפעלה, ספריות שמע וחומרה יכולים לייצר תוצאות מעט שונות מאותו אות שנוצר", הסביר laserphile. "זה לא בהכרח מספיק כדי לזהות מכשיר באופן ייחודי בפני עצמו, אבל זה הופך להרבה יותר שימושי כשמשלבים את זה עם נתוני canvas, WebGL, חומרה, תזמון ואינטראקציה".

ל-Alibaba ול-עליאקספרס יכולות להיות סיבות להשתמש בשיטות כאלה, בהן התמודדות עם חשבונות מזויפים, הונאות וניצול קופונים. מנגד, מאגרי התנהגות גדולים של משתמשים יכולים לשמש גם לשיווק מדויק יותר של מוצרים ושירותים.

"אבל אישית, אני לא רוצה שעמוד בית של אתר קניות יפעיל בשקט את ה-API של הגרפיקה, השמע, WebRTC, החומרה והתנועה שלי כדי לעקוב אחרי ההתנהגות שלי, במיוחד אם יש לזה אפקט מעצבן כמו לחסום לי את המוזיקה", כתב laserphile. "אולי אם עליאקספרס לא הייתה חוסמת לי את המוזיקה, לא הייתי בודק מה האתר עושה".

לפי הפוסט, הדרך הישירה והאמינה ביותר כיום לבלום טביעת קול היא שימוש בדפדפנים שממוקדים בפרטיות, כמו Firefox או Brave. הדפדפן Brave, למשל, מזריק נתונים אקראיים לפלט של הדפדפן כך שאתרים שונים יקבלו טביעת אצבע שונה, ובמקרה הזה גם חסם את הסקריפטים של עליאקספרס ששימשו למעקב.