Исследователь обнаружил на AliExpress механизм, который позволял сайту незаметно связывать конкретное устройство с последующими визитами. По словам исследователя, это происходило через скрытый аудиосигнал в браузере, а побочный эффект заметили владельцы Bluetooth-наушников.
Как выяснил TechJuice, в браузере запускались два скрипта — collina.js и fireyejs.js. Они воспроизводили пилообразный сигнал, проигрывали его с нулевой громкостью и одновременно изучали, как его обрабатывает система. В рамках той же схемы, как утверждается, собирался отпечаток устройства вместе с данными Canvas, WebGL, памяти, WebRTC и движений мыши.
Странность заметили из-за Bluetooth-наушников: пока AliExpress была открыта на компьютере, они переставали автоматически переключаться с него на телефон. После закрытия вкладки проблема исчезала.
При этом исследователь отдельно подчёркивает, что AliExpress не записывала музыку, разговоры или звук с микрофона. По его словам, сайт не прослушивал пользователя напрямую, а сам создавал специальный сигнал внутри компьютера и проверял, как тот обрабатывается системой.
AliExpress была поймана на использовании аудиосистемы пользователей для отслеживания. AliExpress не записывала пользователей, а вместо этого проигрывала тихий звук и измеряла, как конкретные устройства его обрабатывают, чтобы составить отпечаток.
— Brave, разработчик браузера
Brave, которая публично заявила об этом методе, утверждает, что её браузер защищает от подобного отслеживания. В посте Brave схема описывается как использование аудиосистемы для трекинга, а не как обычная запись звука.
Если такие скрипты действительно использовались на AliExpress, это добавляет к обычному набору браузерных отпечатков ещё и скрытый аудиоканал. И именно эта часть истории выглядит особенно неприятно: пользователь не слышит сигнал, но его устройство, похоже, всё равно выдаёт себя системе.
Считаете ли вы скрытый аудиосигнал допустимым способом защиты от мошенничества на сайте?
НовостиСервисы и соцсетиДругие новости — околоигровоеЖелезо и технологии
Источник: vgtimes.ru