Spletna trgovina AliExpress zasačena pri skritem sledenju uporabnikom

Spletna trgovina AliExpress, ki deluje pod okriljem skupine Alibaba Group, se je znašla pod drobnogledom varnostnih strokovnjakov. Raziskovalci in ekipa, ki razvija brskalnik Brave, so namreč na spletni strani AliExpress odkrili skrito obdelavo zvoka prek tehnologije Web Audio, ki lahko služi za ustvarjanje tako imenovanih prstnih odtisov naprav.

Pri tem postopku ne gre za snemanje uporabnikov prek mikrofonov. Sistem namesto tega ustvari in obdela neslišen zvočni signal ter nato izmeri drobne, ponovljive razlike v načinu, kako ta signal obdelata posamezni brskalnik in naprava. Slednje deluje tako, da iz zbranih podatkov o strojni in programski opremi sestavi edinstven podpis obiskovalca.

Analiza kode je pokazala, da spletna stran trgovine AliExpress obdeluje fiksen zvočni val ter preučuje pridobljene numerične vrednosti. Majhna odstopanja nastanejo zaradi specifik brskalnika, operacijskega sistema, delovanja procesorja, zvočne strojne opreme in gonilnikov. Ti zvočni signali so bili nastavljeni na ničelno glasnost, a so ostali povezani z zvočnim izhodom sistema. Zato uporabnik ne sliši ničesar, utišanje zavihka v brskalniku pa procesa ne prepreči, saj se vse odvija znotraj zvočnega sistema Web Audio.

Zvočne meritve so le del zbranih podatkov. Skripte zbirajo tudi informacije o upodabljanju platna (canvas), tehnologiji WebGL, nastavitvah zaslona, strojni konfiguraciji, delovanju WebRTC ter uporabniških interakcijah. Vsi ti signali skupaj ustvarijo veliko podrobnejši profil naprave, kot bi ga omogočil kateri koli posamezen podatek.

Tako pridobljeni podatki se sicer lahko uporabljajo v legitimne namene, kot so preprečevanje prevar, zaznavanje botov in ocena tveganj pri spletnih nakupih. Podjetjem pomagajo opaziti sumljive transakcije ali avtomatizirano delovanje, tudi če so piškotki izbrisani. Vendar pa to odpira resna vprašanja o zasebnosti, saj se uporabniki sledenja pogosto ne zavedajo in nad njim nimajo nadzora. Prejšnje študije so pokazale tudi, da so bile odločitve obiskovalcev o zavrnitvi piškotkov prezrte v več kot polovici preučevanih primerov.

Nadzor nad takšnimi prikritimi metodami sledenja ostaja v praksi precej vprašljiv, saj se tehnologija nenehno spreminja. Brskalnik Brave za zaščito na spletni strani spletne trgovine AliExpress že blokira omenjene skripte. Priporočajo tudi uporabo razširitev za blokiranje vsebine in preprečevanje sledenja, redno posodabljanje brskalnika ter uporabo ločenega profila ali brskalnika za spletno nakupovanje, v katerem uporabniki niso prijavljeni v druge storitve.