O sprawie zrobiło się głośno po tym, jak programista publikujący pod pseudonimem laserphile korzystający ze słuchawek Bluetooth z funkcją multipoint zauważył nietypowy problem. Gdy miał otwartą stronę AliExpress, słuchawki nie przełączały poprawnie połączenia między komputerem a telefonem. Zamknięcie karty z AliExpress natychmiast przywracało prawidłowe działanie. Analiza szybko zyskała rozgłos na Hacker News.
Problem ze słuchawkami naprowadził na trop
Analiza strony ujawniła, że jej kod tworzył za pomocą Web Audio API aktywne grafy przetwarzania dźwięku. Nie był to jednak zwykły odtwarzacz audio. Sygnał przechodził przez kolejne elementy przetwarzające, a na końcu był wyciszany do zera. Mimo to graf pozostawał połączony z wyjściem audio przeglądarki, więc system nadal traktował go jako aktywny strumień audio.
To wyjaśnia również, dlaczego zwykłe wyciszenie karty nie rozwiązywało problemu. Nie było tam klasycznego elementu audio lub wideo, który można byłoby po prostu zatrzymać. Przeglądarka nadal wykonywała operacje związane z Web Audio API, choć użytkownik niczego nie słyszał. Co istotne, podobne zachowanie AliExpress zostało odnotowane w dokumentacji Mozilli już wcześniej. W zgłoszeniu Bugzilli nr 1863193 z 2024 roku dotyczącym systemu Windows 11 wskazano wykorzystanie Web Audio API na stronie AliExpress, które wyglądało na pozbawione oczywistego zastosowania i mogło być związane z fingerprintingiem. Problem objawiał się m.in. blokowaniem uśpienia komputera przez aktywny strumień audio.
Dźwięk może posłużyć do stworzenia cyfrowego odcisku
Samo przetwarzanie niesłyszalnego sygnału nie jest jeszcze dowodem na śledzenie konkretnego użytkownika. Kluczowe jest jednak to, co można zmierzyć podczas takiego przetwarzania. Różne komputery mogą bowiem w nieco odmienny sposób przetwarzać ten sam sygnał. Na wynik wpływają między innymi procesor, implementacja przeglądarki, system operacyjny, sterowniki oraz sprzęt audio. Tak powstałe różnice mogą zostać wykorzystane jako jeden z elementów browser fingerprintingu.
W analizowanym przypadku odkryto dwa skrypty, collina.js oraz fireyejs.js, znajdujące się w infrastrukturze Alibaba związanej z AWSC. Z przeprowadzonej analizy wynika, że tworzyły one obiekty AudioContext i budowały grafy wykorzystujące m.in. oscylator, analizator oraz procesor sygnału, a następnie przekazywały wynik do węzła o wzmocnieniu ustawionym na zero.
Audio nie było przy tym jedynym źródłem informacji. Analiza wskazuje również na zbieranie sygnałów związanych m.in. z renderowaniem Canvas, WebGL, konfiguracją sprzętową, WebRTC oraz zachowaniem użytkownika. W połączeniu mogą one tworzyć znacznie bardziej szczegółowy profil urządzenia niż pojedynczy parametr.
AliExpress oficjalnie zbiera informacje o urządzeniu
Warto oddzielić to, co zostało zaobserwowane w kodzie strony, od tego, co AliExpress deklaruje w swojej polityce prywatności. Platforma oficjalnie informuje, że automatycznie zbiera informacje z urządzenia, w tym adres IP, typ urządzenia, unikatowe identyfikatory urządzenia, typ przeglądarki, system operacyjny oraz informacje o sprzęcie i oprogramowaniu. Dokument wymienia również dane dotyczące sposobu korzystania z platformy i przeglądania jej zawartości.
AliExpress deklaruje również wykorzystywanie danych do celów związanych z bezpieczeństwem i zapobieganiem oszustwom. To istotny kontekst, ponieważ fingerprinting jest stosowany w branży internetowej m.in. do wykrywania botów, nadużyć i podejrzanych transakcji. Nie oznacza to jednak automatycznie, że właśnie taki cel miało każde z wykrytych wywołań Web Audio API.
Nie ma również podstaw, by opisywać odkrycie jako potajemne „nagrywanie” użytkowników. Z dostępnej analizy wynika, że mechanizm generował i przetwarzał sygnał w przeglądarce, a nie nagrywał dźwięk z mikrofonu. To istotna różnica: audio fingerprinting wykorzystuje właściwości przetwarzania wygenerowanego sygnału, a nie treść rozmów czy muzyki słuchanej przez użytkownika.
Brave blokuje ten mechanizm
Na sprawę zwrócił uwagę również Brave. Twórcy przeglądarki poinformowali 22 sierpnia, że Brave blokuje skrypty AliExpress wykorzystywane w opisywanym mechanizmie. Przeglądarka od lat stosuje też zabezpieczenia przed audio fingerprintingiem, których celem jest uniemożliwienie stronom uzyskania stabilnego identyfikatora urządzenia na podstawie charakterystyki przetwarzania dźwięku.
To element szerszej strategii Brave. Przeglądarka stosuje również mechanizmy ograniczające fingerprinting za pośrednictwem WebGL i WebGPU. Wprowadzona w sierpniu 2026 r. ochrona modyfikuje m.in. informacje o producencie i rendererze GPU oraz wprowadza losowość do części danych udostępnianych przez WebGL.
Cała sytuacja pokazuje, że fingerprinting nie musi ograniczać się do ciasteczek czy oczywistych informacji, takich jak rozdzielczość ekranu. Przeglądarka udostępnia stronom wiele interfejsów pozwalających uzyskać informacje o sposobie działania urządzenia. W przypadku AliExpress ubocznym skutkiem wykorzystania Web Audio API okazał się problem ze słuchawkami Bluetooth, który pozwolił użytkownikowi zauważyć coś, co w normalnych warunkach mogło pozostać całkowicie niewidoczne. Na razie nie ma publicznego stanowiska AliExpress, które wyjaśniałoby konkretny cel wykrytych skryptów Web Audio ani potwierdzało zakres wykorzystania uzyskanych w ten sposób danych.
0 komentarzy