AliExpress to jedna z najpopularniejszych platform zakupowych w internecie. Z serwisu należącego do chińskiego koncernu Alibaba korzystają także Polacy, kupując elektronikę, akcesoria do domu czy choćby drobne gadżety. Tym razem uwagę zwróciła nie promocja, ale kontrowersyjny sposób, w jaki może ona rozpoznawać urządzenia użytkowników.
Ciche dźwięki mogą rozpoznać komputer
Jak informuje "Niebezpiecznik", sprawę odkrył programista korzystający ze słuchawek Bluetooth. Zauważył nietypowe zachowanie podczas próby przełączenia słuchawek z komputera na smartfon. Analiza doprowadziła go do AliExpress. Okazało się, że serwis korzystał z API WebAudio, czyli mechanizmu pozwalającego stronom internetowym generować i przetwarzać dźwięk.
Platforma mogła wykorzystywać ten mechanizm do tworzenia sygnałów o zerowej głośności. Użytkownik ich nie słyszał, ale komputer nadal je przetwarzał. Sposób, w jaki konkretne urządzenie radzi sobie z takim sygnałem, może dostarczyć informacji potrzebnych do jego rozpoznania.
Może cię zainteresować:
Okazało się że to przez zawieszkę API WebAudio które AliExpress wykorzystywał do generowania niesłyszalnych sygnałów o zerowej głośności.
Metoda zamiast ciasteczek
Spokojnie, pod jednym względem możecie odetchnąć. Nie chodzi o podsłuchiwanie rozmów ani nagrywanie dźwięku z mikrofonu. Mechanizm ma działać bardziej jak cyfrowy odcisk palca urządzenia. Różnice w przetwarzaniu sygnału przez sprzęt mogą być na tyle charakterystyczne, że pozwalają odróżnić jeden komputer od drugiego.
To ważne, ponieważ sposób ten może służyć do rozpoznawania urządzenia nawet po wyczyszczeniu ciasteczek albo zmianie przeglądarki. Ciasteczka to niewielkie informacje zapisywane przez strony na urządzeniu. Cyfrowy odcisk palca działa inaczej - wykorzystuje charakterystyczne cechy sprzętu. Metoda może być używana do profilowania urządzeń w internecie.
Dzięki temu można je śledzić lepiej niż ciasteczkami (nawet po ich wyczyszczeniu czy zmianie przeglądarki wiadomo że to ten sam hardware).
Dla użytkownika oznacza to, że samo wyczyszczenie ciasteczek nie zawsze musi wystarczyć, by utrudnić stronie rozpoznanie urządzenia. Opis Niebezpiecznika pokazuje też, jak nietypowe informacje o działaniu sprzętu mogą posłużyć do stworzenia jego cyfrowego "odcisku palca".
Źródło: Niebezpiecznik
