Приложение AliExpress
(Фото: Jirapong Manustrong/Shutterstock)
Китайский гигант интернет-торговли AliExpress использовал на главной странице своего сайта код, который задействовал звуковую систему компьютера пользователя для создания своего рода "цифрового паспорта" устройства. Об этом стало известно в понедельник, 24 августа, из публикаций профильных изданий, посвященных вопросам безопасности в онлайн-торговле.
Этот способ позволяет идентифицировать компьютер и отслеживать активность пользователя даже без использования файлов Cookie - небольших файлов, которые обычно хранят на устройстве данные о посещении сайта.
Код, связанный, по имеющимся данным, с системами безопасности Alibaba (владелец маркетплейса AliExpress), запускал в браузере аудиопроцессы, не слышимые для пользователя. При этом система измеряла крошечные различия в том, как разные компьютеры обрабатывают один и тот же звуковой сигнал.
Эти различия зависят от процессора, звуковой карты, операционной системы и браузера. Сочетание всех этих факторов может служить своего рода уникальной меткой конкретного устройства.
Обнаружили эту активность почти случайно. Один из разработчиков заметил, что его Bluetooth-наушники, подключенные сразу к нескольким устройствам, не переключаются с компьютера на смартфон, пока в браузере открыта вкладка AliExpress.
Стоило закрыть вкладку - и проблема исчезала. Проверка кода сайта показала, что причиной была именно та самая фоновая звуковая активность, о которой пользователь даже не подозревал.
Звук есть, а вы ничего не слышите
Проверка кода показала, что AliExpress использовал инструмент, который позволяет сайтам создавать и обрабатывать звук прямо в браузере. Однако громкость при этом была выставлена на ноль. Пользователь не слышал ничего, но звуковая система компьютера все это время оставалась активной в фоновом режиме.
Судя по всему, именно поэтому механизм и удалось раскрыть: с точки зрения компьютера, звуковая система была занята, и это мешало наушникам переключаться между устройствами. Даже если пользователь отключал звук на самой вкладке в браузере, процесс продолжал работать.
Но куда интереснее то, зачем вообще нужна такая активность. Разные компьютеры обрабатывают один и тот же звуковой сигнал чуть по-разному. Это зависит от того, из чего они собраны и какое на них установлено программное обеспечение. Сайт может измерить эти мельчайшие различия и, объединив их с другими данными, составить своего рода уникальный "портрет" конкретного устройства.
Как сообщается, звук был лишь частью собираемых данных. Скрипты также проверяли особенности видеокарты, экрана, других компонентов компьютера и поведения браузера. Сама по себе ни одна из этих деталей не позволяет точно опознать конкретный компьютер, но, собранные вместе, они помогают отличить одно устройство от другого.
Зачем AliExpress вообще это нужно?
Важно понимать: подобные технологии опознавания устройств используются не только для слежки ради рекламы. Крупные сайты применяют их и для того, чтобы распознавать ботов, предотвращать мошенничество и выявлять подозрительную активность. В случае AliExpress раскрытый код, по имеющимся данным, связан именно с системами безопасности Alibaba.
И все же у такой технологии есть очевидные последствия для приватности пользователей. В отличие от файлов Cookie, которые можно удалить с компьютера, здесь опознавание строится на характеристиках самого устройства. При этом пользователь вообще может не подозревать, что о нем собирают такие данные.
Браузер Brave был в числе первых, кто зафиксировал эту активность. Несколькими днями ранее компания сообщила, что ее браузер блокирует скрипты AliExpress, отвечающие за эти звуковые махинации. В Brave отметили, что уже более шести лет защищают пользователей от подобного отслеживания через звук.
Эта история происходит на фоне того, что файлы Cookie, которые годами были одним из главных инструментов опознавания пользователей в интернете, становятся все менее эффективными.
Причина - ограничения, которые вводят браузеры, и возможность самих пользователей блокировать или удалять эти файлы. Опознавание по характеристикам устройства предлагает иной способ. Вместо того чтобы хранить метку на компьютере пользователя, сайт пытается опознать устройство по сочетанию его собственных особенностей. Это и комплектующие, и экран, и то, как устройство обрабатывает изображение и звук.
Для пользователя разница здесь существенная. Файлы Cookie можно удалить, а вот изменить комплектующие, операционную систему и другие особенности, из которых складывается "отпечаток" устройства, гораздо сложнее.