AliExpress ana sayfası sessizce WebAudio parmak izi topluyor ve multipoint Bluetooth'u bozuyor

Ağustosta yayımlanan bir blog yazısı, tarayıcı parmak izi toplamanın alışılmadık bir yan etkisini belgeliyor: AliExpress ana sayfası sessizce ses işliyor, bu yüzden bilgisayarın Bluetooth ses yolu meşgul kalıyor ve multipoint kulaklık eşleştirilmiş telefona geri dönemiyor.

Yazarın kulaklığı aynı anda hem bilgisayara hem telefona bağlı ve bilgisayar ses çaldığı sürece öncelik onda. Bu düzen, Firefox ya da Chrome'da bir AliExpress sayfası açılana kadar çalıştı. Sayfa yüklendikten kısa süre sonra telefondan gelen ses kesiliyordu; sekmeyi kapatmak sorunu anında çözüyor, sekmeyi sessize almak çözmüyordu ve görünürde hiçbir şey çalmıyordu.

Medya öğesi yerine gizli bir ses grafiği

İlk inceleme audio ve video öğelerini, play() çağrılarını, Media Session üst verisini, medya isteklerini ve gömülü çerçeveleri aradı ve hiçbirini bulamadı. İpucu zamanlamadaydı: sorun ancak sayfa birkaç saniye boşta kaldıktan sonra ortaya çıkıyordu. Yazar bu yüzden Web Audio API'yi izlemeye aldı; AudioContext yapıcısını ve AudioNode.prototype.connect() metodunu sarmalayıp boşta bir sayfa yüklemesini kaydetti. İki AudioContext nesnesi göründü: ikisi de running durumundaydı ve ikisi de ses hedefine bağlıydı.

Yığın izleri collina.js ve fireyejs.js dosyalarını gösteriyordu: assets.aliexpress-media.com üzerinden sunulan gizlenmiş dosyalar ve yazara göre Alibaba'nın tarayıcı güvenliği ile sahtekârlıkla mücadele araçları. Her ikisi de aynı zinciri kuruyor: testere dişi osilatör, analizör, işlemci düğümü, sıfıra ayarlı bir gain düğümü ve ses hedefi. Betik, analizörün frekans verilerini okuyor. Gain sıfır olduğu için hiçbir şey duyulmuyor, ancak sistem hedefine bağlantı açık kalıyor, ses gerçekten işleniyor ve sekmenin sessize alma düğmesinin susturacağı bir medya öğesi yok.

Birçok sinyalden biri

Ses testi daha geniş bir parmak izinin bir bileşeni: paketler ayrıca canvas ve WebGL verilerini, ekran ve donanım bilgilerini, WebRTC davranışını ve kullanıcı olaylarını okuyor, ardından sonuçları şifreleyip Alibaba telemetrisine gönderiyor.

Engelleme ve bedeli

Yazar sahtekârlıkla mücadele gerekçesini kabul ediyor — alışveriş yapanı otomasyondan ayırmak hesap ele geçirmeye, sahte hesaplara, veri kazımaya ve ödeme dolandırıcılığına karşı yardımcı oluyor — ancak uygulamaya itiraz ediyor: genel alışveriş sayfasında, herhangi bir hassas işlemden önce çalışıyor, kasten incelenmesi zor ve canlı bir ses grafiği başladığında hiçbir şey bildirmiyor.

İki betiği engelleyen dar uBlock Origin kuralları ses bağlamlarının oluşmasını durdurdu, ana sayfa ise normal biçimde görüntülenmeye devam etti. Önce açık AliExpress sekmeleri kapatılmalı, çünkü bir betiği engellemek zaten oluşturulmuş ses bağlamını sonlandırmıyor. Antisahtekârlık sistemlerine bağlı oldukları için engelleme ek CAPTCHA doğurabilir.