Popularna platforma zakupowa należąca do chińskiego koncernu Alibaba zastosowała niecodzienną metodę rozróżniania urządzeń należących do użytkowników.
Zamiast polegać wyłącznie na tradycyjnych mechanizmach, serwis wykorzystuje specyficzne właściwości sprzętowe komputera do budowania jego cyfrowego profilu. Informacje o tej praktyce ujawnił serwis Niebezpiecznik, powołując się na obserwacje poczynione przez jednego z programistów. Mechanizm opiera się na generowaniu niesłyszalnych sygnałów audio, które są przetwarzane przez podzespoły komputera bez wiedzy i świadomości osoby przeglądającej ofertę sklepu.
Przypadkowe odkrycie programisty i rola słuchawek Bluetooth
Na ślad nietypowego działania portalu natrafił programista podczas codziennego korzystania ze słuchawek bezprzewodowych Bluetooth. Zauważył on niedogodności związane z próbą przełączenia połączenia audio z komputera na smartfon. Słuchawki nie chciały zmienić źródła dźwięku, co zasugerowało, że komputer cały czas wykonuje jakieś operacje związane z odtwarzaniem audio. Dalsza analiza parametrów połączenia oraz aktywności przeglądarki internetowej doprowadziła go bezpośrednio do otwartej karty z serwisem AliExpress.
Jak działa API WebAudio i sygnały o zerowej głośności
Jak wynika z opisu przedstawionego przez Niebezpiecznik, chiński gigant e-commerce wykorzystywał do swoich celów powszechnie dostępne interfejsy programistyczne, a konkretnie API WebAudio. Jest to standardowe narzędzie wbudowane w przeglądarki internetowe, które umożliwia tworzenie oraz przetwarzanie dźwięków bezpośrednio z poziomu stron WWW. W przypadku AliExpress technologia ta służyła do generowania sygnałów o zerowej głośności. Użytkownik przebywający na stronie nie słyszał żadnych odgłosów wydobywających się z głośników, jednak układ dźwiękowy i procesor komputera wciąż wykonywały operacje na przesłanym strumieniu danych.
Cyfrowy odcisk palca sprzętu zamiennikiem dla plików cookies
Głównym celem stosowania niesłyszalnych fal dźwiękowych nie jest podsłuchiwanie otoczenia ani nagrywanie jakichkolwiek głosów z mikrofonu użytkownika. Technologia ta służy do tworzenia tzw. cyfrowego odcisku palca urządzenia (ang. fingerprinting). Każdy komputer, w zależności od zamontowanych podzespołów, architektury sprzętowej czy zainstalowanych sterowników, przetwarza ten sam cyfrowy sygnał audio w minimalnie odmienny sposób. Powstające w ten sposób drobne różnice w przetwarzaniu są na tyle unikalne, że pozwalają na precyzyjne odróżnienie konkretnego komputera od innych maszyn podłączonych do sieci.
Trudniejsze do usunięcia niż standardowa historia przeglądania
Wykorzystywanie cech sprzętowych do identyfikacji internautów sprawia, że tradycyjne metody ochrony prywatności stają się mniej skuteczne. Standardowe wyczyszczenie ciasteczek (cookies) w przeglądarce, usunięcie pamięci podręcznej czy nawet zmiana samej aplikacji do przeglądania internetu nie wyeliminują cyfrowego odcisku sprzętu. Strona internetowa, generując odpowiedni sygnał za pomocą API WebAudio i analizując odpowiedź procesora, wciąż jest w stanie rozpoznać, że ma do czynienia z tym samym komputerem. Pokazuje to nową specyfikę profilowania użytkowników w sieci, gdzie identyfikatorem staje się specyficzna charakterystyka fizycznego sprzętu.
Czytaj także:
