Из-за проблемы с Bluetooth-наушниками разработчик Мэтт Каллаган (Matt Callaghan) случайно обнаружил, что сайт Aliexpress использует Web Audio API для скрытого фингерпринтинга браузеров пользователей. Страница генерирует неслышимый аудиосигнал и анализирует, как именно его обрабатывает система посетителя.
В своем блоге Каллаган рассказывает, что его наушники поддерживают multipoint, поэтому обычно они одновременно подключены к ПК и смартфону: на телефоне играет музыка, пока компьютер не начинает воспроизводить какой-то звук. Из-за этого исследователь обратил внимание, что после открытия сайта Aliexpress в Firefox или Chrome музыка на смартфоне внезапно прерывается, и воспроизведение продолжается только после закрытия вкладки. При этом на странице не было видимого медиаконтента, а отключение звука в самой вкладке, во всем браузере или Windows не помогало.
После этого разработчик решил изучить код сайта и нашел два сильно обфусцированных аудиоскрипта, которые относились к защитным и антифрод-механизмам Alibaba. Эти скрипты использовали Web Audio API: генерировали неслышимый пилообразный сигнал, пропускали его через аудиосистему браузера и анализировали результат.
Небольшие различия в обработке сигнала позволяли получить дополнительный параметр для браузерного фингерпринтинга. При этом скрипты обнуляли громкость сигнала, поэтому пользователи не слышали никаких звуков, хотя их браузеры продолжали обрабатывать сигнал. Именно эта активность, по мнению Каллагана, не давала его наушникам корректно переключаться обратно на смартфон.
При этом оказалось, что сбор данных не ограничивается только использованием Web Audio API. Также Каллаган обнаружил в коде сайта инструменты сбора данных о разрешении экрана, объеме памяти, браузерных плагинах, WebGL, canvas и WebRTC. Также скрипты отслеживали движения мыши и касания, и пытались определить, не управляется ли браузер средствами автоматизации. Все собранные данные в итоге шифруются и передаются на телеметрические серверы Alibaba, в совокупности позволяя сформировать детальный «отпечаток» конкретного браузера и устройства.
После выхода публикации Каллагана разработчики Firefox сообщили, что такой фингерпринтинг практически бесполезен в большинстве случаев. Дело в том, что защита, появившаяся в Firefox 118 в сентябре 2023 года, стремится сделать результаты одинаковыми для большинства систем.
По словам инженера Mozilla Тома Риттера (Tom Ritter), 99,24% пользователей распределяются всего по трем группам, где две основные — это x86/x64 без FMA и x64 с FMA. А еще для 0,76% пользователей скрипт вообще не срабатывал.
Исключение составили лишь 48 пользователей, чьи системы образовали 23 редких группы, и для их браузеров были собраны уникальные отпечатки. Риттер допускает, что причиной могли стать ошибки CPU, проблемы с RAM или необычная архитектура систем.
В свою очередь, разработчики Brave рассказали, что защищают пользователей от аудиофингерпринтинга иначе: браузер подмешивает случайные данные в результаты, поэтому разные сайты получают разные отпечатки браузера, а между сессиями все обнуляется. Кроме того, в Brave подчеркивают, что уже по умолчанию блокируют скрипты Aliexpress.
По словам специалистов, браузер Safari тоже искажает результаты работы Web Audio, специально добавляя ошибки в аудиобуфер. При этом в Chrome ситуация выглядит куда хуже: браузер не использует агрессивную защиту от фингерпринтинга, и ранее ИБ-специалисты уже предупреждали, что в Chrome можно успешно использовать десятки подобных техник.
Представители Alibaba пока никак не комментировали заявления исследователей.
