Профильный исследователь выяснил, что сайт AliExpress от Alibaba тайно прослушивает наушники для идентификации посетителей. Два скрипта на сайте запускают в браузере пилообразный сигнал, анализируют его обработку системой и отправляют звук на выход с нулевой громкостью. Пользователь ничего не слышит, но получившийся отпечаток помогает отличать его устройство от других — вместе с данными Canvas, WebGL, памяти, WebRTC и движений мыши.
Фактически сайт AliExpress не записывает пользователей, а вместо этого воспроизводит неслышимый звук и измеряет, как конкретные устройства пользователей его обрабатывают, чтобы создать их цифровой отпечаток.
Эту схему на сайте AliExpress случайно раскрыли Bluetooth-наушники у исследователя. Оказалось, что беззвучный аудиопоток удерживал подключение компьютера и не давал переключить наушники на смартфон. Не помогало даже отключение звука во вкладке браузера, но закрытие сайта AliExpress сразу решило эту проблему.
«Alibaba AliExpress попался на использовании аудиосистем пользователей для их отслеживания. AliExpress не записывал пользователей, а вместо этого воспроизводил неслышимый звук и измерял, как конкретные устройства пользователей его обрабатывали, чтобы создать их цифровой отпечаток. Цифровые отпечатки — это способ, которым веб-сайты могут идентифицировать вас без использования cookies. Сайты фиксируют детали о вашем устройстве, такие как размер экрана или установленные шрифты. Эти детали затем объединяются в уникальный, постоянный «отпечаток», который может использоваться для отслеживания вас по всему вебу. Существуют небольшие различия в том, как каждое устройство воспроизводит один и тот же аудиофайл из-за различий в процессоре, звуковой карте, браузере. Когда AliExpress воспроизводил неслышимый звук, он измерял эти небольшие вариации, чтобы помочь создать отпечатки устройств пользователей», — пояснили инцидент в команде браузера Brave.
Главная страница AliExpress незаметно создаёт два работающих WebAudio‑графа на основе сильно обфусцированных скриптов безопасности Alibaba. Графы генерируют и анализируют звуковую волну как часть гораздо более обширного «отпечатка» браузера, а затем подключаются через zero‑gain node к системному аудиоприемнику, не позволяя пользователю ничего услышать. В моей конфигурации это, по‑видимому, поддерживает активным Bluetooth‑аудиоканал ПК и предотвращает переключение многоточечных наушников обратно на телефон. Отключение звука на вкладке не решает проблему, поскольку нет обычного медиаэлемента для отключения звука. Блокировка collina.js и fireyejs.js с помощью двух правил uBlock Origin, предотвратила создание скрытых аудиоконтекстов, и теперь я могу спокойно слушать музыку, не отвлекаясь, во время просмотра AliExpress.
Вариант обхода этого отслеживания с помощью uBlock Origin от Raymond Hill.
Чтобы заблокировать скрипты, откройте панель управления uBlock, выберите «Мои фильтры» и добавьте:
! Скрипты для идентификации AliExpress AWSC:
assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com
Нажмите «Применить изменения», закройте все существующие вкладки AliExpress и снова откройте сайт. Существующие вкладки необходимо закрыть, поскольку блокировка скрипта не отключает уже созданный им аудиоконтекст.
Источник: habr.com