דף הבית של AliExpress מריץ fingerprinting שקט ב-WebAudio ומשבש Bluetooth multipoint

רשומה בבלוג שפורסמה באוגוסט מתארת תופעת לוואי יוצאת דופן של fingerprinting בדפדפן: דף הבית של AliExpress מעבד אודיו בשקט, וכתוצאה מכך ערוץ ה-Bluetooth של המחשב נשאר תפוס והאוזניות עם multipoint אינן חוזרות לטלפון המזווג.

האוזניות של הכותב מחוברות בו-זמנית למחשב ולטלפון, כשהמחשב מקבל עדיפות כל עוד הוא משמיע שמע. השילוב עבד עד שדף של AliExpress נפתח ב-Firefox או ב-Chrome. זמן קצר לאחר טעינת הדף השמע מהטלפון נפסק; סגירת הלשונית תיקנה זאת מיד, השתקת הלשונית לא עזרה, ושום דבר לא ניגן באופן גלוי.

גרף אודיו נסתר במקום רכיב מדיה

הסריקה הראשונה חיפשה רכיבי audio ו-video, קריאות ל-play(), מטא-נתוני Media Session, בקשות מדיה ומסגרות משובצות, ולא מצאה דבר. הרמז היה בתזמון: הבעיה הופיעה רק לאחר שהדף היה מושבת כמה שניות. לכן הכותב עטף את Web Audio API — את הבנאי של AudioContext ואת AudioNode.prototype.connect() — ותיעד טעינה של דף לא פעיל. הופיעו שני אובייקטי AudioContext, שניהם במצב running ושניהם מחוברים ליעד האודיו.

עקבות המחסנית הצביעו על collina.js ו-fireyejs.js, קבצים מוסווים מ-assets.aliexpress-media.com שאותם הכותב מקשר לכלי האבטחה והאנטי-הונאה של הדפדפן של אליבאבא. כל אחד בונה את אותה שרשרת: מתנד מסור-שן, מנתח, צומת עיבוד, צומת gain המכוון לאפס ויעד האודיו. הסקריפט קורא את נתוני התדר מהמנתח. ה-gain האפסי מונע כל שמע, אך החיבור ליעד המערכת נשאר פתוח, האודיו אכן מעובד, ולכפתור ההשתקה של הלשונית אין רכיב מדיה להשתיק.

אות אחד מבין רבים

בדיקת האודיו היא רכיב אחד בטביעת אצבע רחבה יותר: החבילות קוראות גם נתוני canvas ו-WebGL, מידע על המסך והחומרה, תוספים מותקנים, התנהגות WebRTC, תזמוני performance API ופעולות משתמש, ואז מצפינות את התוצאות ושולחות אותן לטלמטריה של אליבאבא. מה קורה לנתונים לאחר מכן אינו נראה מהדפדפן.

חסימה והמחיר שלה

הכותב מקבל את ההיגיון של מניעת הונאות — הבחנה בין קונה לאוטומציה מסייעת נגד השתלטות על חשבונות, חשבונות מזויפים, גרידת נתונים והונאות תשלום — אך מתנגד למימוש: הוא פועל בדף הקניות הרגיל עוד לפני כל פעולה רגישה, קשה בכוונה לבדיקה ואינו מודיע דבר כאשר מתחיל גרף אודיו חי.

כללים מצומצמים ב-uBlock Origin שחסמו את שני הסקריפטים הפסיקו את יצירת הקשרי האודיו, והדף המשיך להיראות כרגיל. יש לסגור תחילה לשוניות AliExpress פתוחות, משום שחסימת סקריפט אינה מפרקת הקשר אודיו שכבר נוצר, ומכיוון שהסקריפטים קשורים למערכות אנטי-הונאה, חסימתם עלולה לגרום ל-CAPTCHA נוסף או לבעיות בכניסה או בתשלום.