AliExpress уличили в использовании устаревшей аудио-технологии слежения за браузерами
Исследователи обнаружили, что AliExpress использует неслышимые звуки для идентификации браузеров посетителей — метод, который большинство современных браузеров уже нейтрализовали. При этом ритейлер применяет ещё более десятка других способов слежения.
Специалисты по безопасности выяснили, что интернет-магазин AliExpress отслеживает посетителей сайта с помощью устаревшей технологии, основанной на неслышимых звуках, которые браузер отправляет через аудиосистему.
Метод основан на различиях между математическими библиотеками, которые браузеры используют для обработки звука. В сочетании с особенностями процессоров и других системных параметров эти различия раньше позволяли создавать огромное количество уникальных 'подписей', по которым можно было опознать конкретное устройство или браузер.
Браузеры уже отреагировали
После того как техника аудио-фингерпринтинга стала широко известна, разработчики Firefox начиная с версии 118 в 2023 году устранили эту уязвимость, перейдя на собственные постоянные математические библиотеки вместо тех, что поставляются с операционной системой. Разработчик Firefox Том Риттер, также сотрудничавший с проектом Tor, заявил, что этот шаг снизил энтропию данных настолько, что метод перестал работать.
Представитель Google подтвердил, что в Chrome техника также неэффективна, поскольку браузер использует собственные встроенные библиотеки. Пользователи Safari, вероятно, защищены по той же причине, хотя Apple пока официально это не подтвердила.
Почему AliExpress всё ещё её использует
Вопрос о том, зачем AliExpress продолжает применять метод, который больше не работает в большинстве современных браузеров, скорее всего объясняется тем, что это лишь одна из множества технологий слежения, используемых компанией одновременно. Исследователь Каллахан отметил, что AliExpress также применяет более десятка других техник, включая анализ рендеринга canvas, данные WebGL о видеокарте и шейдерах, информацию о расширениях браузера, размеры экрана и окна просмотра, параметры оборудования, отслеживание движений мыши и касаний, а также признаки автоматизации браузера.
Вероятно, код аудио-слежения остался с прошлых лет и до сих пор оставался незамеченным. Хотя крупные разработчики браузеров приняли меры против этой конкретной техники, пока неясно, насколько эффективны остальные методы слежения, применяемые AliExpress. Эксперты отмечают, что похожие технологии почти наверняка используют тысячи других сайтов, а разработчики браузеров продолжают вести постоянную борьбу с владельцами сайтов, которые ищут новые способы обхода последних средств защиты приватности.
