Исследователь Мэттью Каллаган случайно обнаружил, что сайт AliExpress собирает технические данные о браузере и устройстве пользователя. Понять это ему помогли Bluetooth-наушники, которые начинали странно работать каждый раз, когда он открывал сайт.
Наушники Каллагана были одновременно подключены к компьютеру и смартфону. Обычно музыка играла с телефона, а компьютер перехватывал звук только тогда, когда действительно что-то воспроизводил.
Но при открытии AliExpress музыка на смартфоне неожиданно останавливалась. Стоило закрыть вкладку — всё снова начинало работать нормально.
При этом никакой музыки или видео на странице не было.
Исследователь решил разобраться и изучил код сайта. Там он обнаружил скрипты, которые незаметно запускали специальный звуковой сигнал.
Звука не слышно, но браузер его обрабатывает
AliExpress создавал звук через браузер, но выставлял громкость на ноль. Поэтому пользователь ничего не слышал.
Однако компьютер всё равно обрабатывал этот сигнал. Из-за этого Bluetooth-наушники считали, что с компьютера идёт звук, и переставали воспроизводить музыку со смартфона.
Именно эта ошибка и помогла обнаружить скрытую работу сайта.
Сам звук был нужен не для рекламы или уведомлений. С его помощью сайт мог получать информацию о том, как конкретный браузер и компьютер обрабатывают аудио.
Такие данные могут быть частью так называемого цифрового отпечатка браузера.
Что такое цифровой отпечаток
Сайты могут узнавать пользователей не только с помощью cookies.
Они способны собирать десятки технических характеристик устройства: размер экрана, модель видеокарты, количество памяти, особенности браузера, поддерживаемые форматы видео и аудио и другие параметры.
По отдельности эти сведения мало что значат. Но если собрать их вместе, получается достаточно подробный профиль устройства.
В случае AliExpress исследователь обнаружил, что сайт проверял не только звук.
Скрипты также собирали информацию об экране, видеокарте, памяти компьютера, процессоре, браузерных плагинах и других характеристиках. Кроме того, сайт анализировал движения мыши, касания экрана и прокрутку страницы.
Такие данные могут использоваться, например, чтобы отличать обычных покупателей от ботов или обнаруживать подозрительные действия.
При этом по одному только коду невозможно точно определить, для чего именно AliExpress использует всю собранную информацию.
Самый странный метод уже почти бесполезен
Любопытно, что именно аудиометод, благодаря которому исследователь заметил слежение, сегодня считается устаревшим.
Раньше разные компьютеры немного по-разному обрабатывали один и тот же звук. Эти отличия можно было использовать для идентификации устройства.
Но современные версии Firefox и Chrome специально изменили работу таких систем, поэтому получить уникальный «отпечаток» только по звуку стало намного сложнее.
Возможно, этот код просто остался на AliExpress со времён, когда технология работала лучше.
В итоге скрытый механизм, который должен был быть незаметным для пользователя, раскрыл себя благодаря простой технической ошибке: человек ничего не слышал, но его Bluetooth-наушники заметили, что сайт всё-таки создаёт звук.
Добавить комментарий