AliExpress заподозрили в скрытом использовании аудиосистемы устройств для слежки за пользователями: сайт незаметно запускал аудиопроцессы, из-за которых у части посетителей переставали работать Bluetooth-наушники. Разбираемся, что на самом деле происходит на страницах маркетплейса.
История началась с поста в блоге разработчика, который заметил странность: как только он открывал главную страницу AliExpress в браузере, звук с телефона переставал воспроизводиться через наушники с мультиточечным Bluetooth-соединением. Закрытие вкладки решало проблему мгновенно, а отключение звука в браузере или Windows не помогало — при этом на странице не было ни одного видимого аудио- или видеоэлемента.
Изучив код через отладчик, автор обнаружил два обфусцированных скрипта — collina.js и fireyejs.js, входящие в антифрод-инструментарий Alibaba. Оба создавали объекты AudioContext и строили цепочку из генератора сигнала, анализатора и узла с нулевым усилением, подключенного к системному аудиовыходу. Несмотря на нулевую громкость, браузер продолжал реально обрабатывать сигнал — этого хватило, чтобы занять аудиоканал и заблокировать переключение наушников.
Технология называется аудиофингерпринтингом: небольшие различия в том, как процессор, драйверы и браузер обрабатывают один и тот же звуковой сигнал, позволяют сформировать устойчивый цифровой отпечаток устройства. Проверка показала, что скрипты попутно считывают данные Canvas и WebGL, параметры экрана и оборудования, поведение WebRTC, движения мыши и касания, а также признаки автоматизации — и отправляют все это на серверы Alibaba.
22 августа о находке написала Brave.
«Пользователей никто не прослушивал — AliExpress лишь измеряла реакцию устройства на неслышимый сигнал», – Brave, разработчик браузера.
По словам компании, ее браузер блокирует эту технику по умолчанию. Защиту от аудиофингерпринтинга также встроил Firefox. Пользователи других браузеров могут заблокировать оба скрипта вручную через фильтры uBlock Origin, хотя это способно спровоцировать дополнительные проверки при входе в аккаунт или оплате заказа.
Разработчик Firefox Том Риттер уточнил, что именно этот вектор слежки давно потерял эффективность: с 2023 года браузер делает результат аудиообработки практически одинаковым для подавляющего большинства пользователей, оставляя лишь редкие различия, связанные с архитектурой процессора. При этом в сочетании с другими параметрами устройства фингерпринтинг остается рабочим инструментом слежки за пользователями.
Примечательно, что на странное поведение AliExpress пользователи Reddit жаловались еще год назад, предполагая, что сайт их «прослушивает» — тогда сообщение осталось незамеченным.