Σύνοψη
- Το AliExpress χρησιμοποιεί τεχνικές WebAudio fingerprinting για να ξεχωρίζει τους πραγματικούς χρήστες από τα αυτοματοποιημένα bots.
- Δύο κρυφά scripts εκτελούνται στο παρασκήνιο και παράγουν μη ακουστές συχνότητες, οι οποίες διατηρούν διαρκώς ενεργό το κανάλι ήχου του υπολογιστή.
- Η παραπάνω πρακτική αποτρέπει τα Bluetooth ακουστικά τεχνολογίας multipoint από το να μεταβούν ομαλά σε άλλες συνδεδεμένες συσκευές, όπως τα smartphones.
Η καθημερινή περιήγηση στις πλατφόρμες ηλεκτρονικού εμπορίου κρύβει συχνά παρασκηνιακές τεχνολογικές διεργασίες που σπάνια γίνονται αντιληπτές από τον μέσο χρήστη, μέχρι αυτές να δημιουργήσουν κάποιο απτό πρόβλημα στο υλικό του υπολογιστή.
Πρόσφατα, ένας προγραμματιστής ανακάλυψε ότι η αρχική σελίδα του AliExpress εκτελεί σιωπηλά εξειδικευμένα σενάρια κώδικα που παράγουν μη ακουστές συχνότητες ήχου, με σκοπό τη συλλογή τηλεμετρικών δεδομένων και την ταυτοποίηση της συσκευής του εκάστοτε επισκέπτη.
Αυτή η φαινομενικά αθώα πρακτική ασφαλείας, η οποία σχεδιάστηκε για την καταπολέμηση των αυτοματοποιημένων επιθέσεων, έχει μια απροσδόκητη και αρκετά ενοχλητική παρενέργεια: διατηρεί διαρκώς ενεργό το κανάλι ήχου του λειτουργικού συστήματος, εμποδίζοντας την ομαλή λειτουργία των ακουστικών που υποστηρίζουν την τεχνολογία Bluetooth Multipoint.
Η τεχνολογία Multipoint επιτρέπει σε ένα ζευγάρι ασύρματων ακουστικών να παραμένει συνδεδεμένο ταυτόχρονα σε δύο διαφορετικές πηγές, όπως για παράδειγμα ένας ηλεκτρονικός υπολογιστής και ένα smartphone. Η εναλλαγή γίνεται αυτόματα με βάση την πηγή που αναπαράγει ήχο τη δεδομένη στιγμή, δίνοντας προτεραιότητα στον υπολογιστή όταν υπάρχουν ειδοποιήσεις, αλλά επιστρέφοντας άμεσα στο smartphone για την αναπαραγωγή μουσικής.
Το πρόβλημα εμφανίζεται όταν η καρτέλα του AliExpress ανοίγει σε web browsers όπως ο Firefox ή ο Chrome. Σε αυτή την περίπτωση, η αναπαραγωγή μουσικής από το smartphone διακόπτεται απότομα και τα ακουστικά παραμένουν «κλειδωμένα» στον υπολογιστή, παρόλο που η ιστοσελίδα δεν περιέχει κανένα ορατό στοιχείο βίντεο ή μουσικής που να δικαιολογεί αυτή την αδιάκοπη δέσμευση του καναλιού ήχου.
Γιατί το AliExpress χρησιμοποιεί κρυφό ήχο στους browsers;
Το AliExpress χρησιμοποιεί τη μέθοδο του WebAudio fingerprinting για να δημιουργήσει ένα μοναδικό ψηφιακό αποτύπωμα της συσκευής σας, αναλύοντας τον ακριβή τρόπο με τον οποίο το υλικό και το λογισμικό επεξεργάζονται έναν μη ακουστό ήχο. Στόχος είναι η αυστηρή αναγνώριση αυτοματοποιημένων bots και η αποτροπή απάτης, ωστόσο η διαδικασία διατηρεί το κανάλι ήχου ενεργό, μπλοκάροντας τα ασύρματα ακουστικά.
Η διερεύνηση αυτού του φαινομένου αποκάλυψε ότι η ιστοσελίδα δεν χρησιμοποιεί τα παραδοσιακά στοιχεία ελέγχου αναπαραγωγής πολυμέσων, όπως τα γνωστά HTML tags, τα οποία θα μπορούσαν εύκολα να εντοπιστούν και να διακοπούν από τον χρήστη μέσω της λειτουργίας σίγασης (mute) του browser. Αντιθέτως, η σελίδα δημιουργεί δύο κρυφά αντικείμενα AudioContext αμέσως μετά τη φόρτωση της, τα οποία παραμένουν μόνιμα σε κατάσταση συνεχούς εκτέλεσης. Αυτά τα αντικείμενα προέρχονται από δύο συγκεκριμένα αρχεία JavaScript (το collina.js και το fireyejs.js), τα οποία φιλοξενούνται στους servers της Alibaba και αποτελούν αναπόσπαστο κομμάτι των εργαλείων ασφαλείας της εταιρείας για τον εντοπισμό κακόβουλης δραστηριότητας.
Ο τρόπος λειτουργίας αυτών των σεναρίων κώδικα είναι εξαιρετικά περίπλοκος και βασίζεται στη λεπτομερή ανάλυση της συμπεριφοράς του συστήματος. Ουσιαστικά, κατασκευάζουν ένα γράφημα WebAudio το οποίο χρησιμοποιεί έναν ταλαντωτή για την παραγωγή μιας συγκεκριμένης κυματομορφής. Η κυματομορφή αυτή περνάει μέσα από το σύστημα επεξεργασίας ήχου του εκάστοτε browser, ενώ ένας αναλυτής μετράει το τελικό αποτέλεσμα και καταγράφει τα δεδομένα συχνότητας. Το κλειδί της υπόθεσης βρίσκεται στο γεγονός ότι το επίπεδο έντασης ρυθμίζεται αυστηρά στο μηδέν, διασφαλίζοντας ότι ο επισκέπτης της ιστοσελίδας δεν πρόκειται να ακούσει απολύτως τίποτα κατά τη διάρκεια της διαδικασίας. Ωστόσο, επειδή το γράφημα παραμένει συνδεδεμένο στον τελικό προορισμό ήχου του συστήματος, ο browser αναγκάζεται να επεξεργάζεται ενεργά τη ροή, κρατώντας το hardware του υπολογιστή σε κατάσταση διαρκούς εγρήγορσης.
Το Web Audio API είναι ένα εξαιρετικά ισχυρό εργαλείο που ενσωματώθηκε στους σύγχρονους browsers με αρχικό σκοπό να επιτρέπει στους προγραμματιστές να δημιουργούν σύνθετες μουσικές εφαρμογές, παιχνίδια και διαδραστικές ακουστικές εμπειρίες απευθείας στο διαδίκτυο. Ωστόσο, η ίδια ακριβώς ευελιξία που το καθιστά χρήσιμο για τους δημιουργούς πολυμέσων, το μετατρέπει ταυτόχρονα σε ένα ισχυρό όπλο παρακολούθησης στα χέρια των εταιρειών.
Οι αναλυτές ασφαλείας έχουν παρατηρήσει ότι οι αλγόριθμοι της Alibaba δεν περιορίζονται μόνο στην ανάλυση του ήχου. Η συγκεκριμένη τεχνική συνοδεύεται από παράλληλους ελέγχους στο Canvas rendering, στην ακρίβεια των σκιάσεων μέσω του WebGL, καθώς και στη συλλογή πληροφοριών που αφορούν τη διαθέσιμη μνήμη της συσκευής και τους πυρήνες του επεξεργαστή. Η σύνθεση όλων αυτών των μετρήσεων δημιουργεί ένα προφίλ που είναι εξαιρετικά δύσκολο να πλαστογραφηθεί από τα αυτοματοποιημένα συστήματα εξαγωγής δεδομένων. Τα παραδοσιακά cookies, τα οποία μπορούν εύκολα να διαγραφούν ή να αποκλειστούν, δεν προσφέρουν την ίδια αξιοπιστία στις μεγάλες πλατφόρμες που προσπαθούν να αντιμετωπίσουν μαζικές επιθέσεις και κατάχρηση εκπτωτικών κουπονιών.
Η μοναδική αξιόπιστη λύση για την αποκατάσταση της ομαλής λειτουργίας του εξοπλισμού απαιτεί τον αποκλεισμό των συγκεκριμένων σεναρίων κώδικα μέσω εξειδικευμένων εργαλείων αποκλεισμού περιεχομένου, όπως το uBlock Origin (όπου μπορεί να δουλεύει ακόμα…). Με την προσθήκη ειδικών φίλτρων που στοχεύουν απευθείας στα αρχεία collina.js και fireyejs.js εντός του domain του AliExpress, ο browser εμποδίζεται από το να φορτώσει τις εντολές δημιουργίας των αντικειμένων AudioContext, επιτρέποντας στο ηχητικό σύστημα του υπολογιστή να μεταβεί σε κατάσταση αδράνειας. Η περιήγηση στα προϊόντα και η διαδικασία αγοράς συνεχίζουν να λειτουργούν κανονικά, αν και η πλατφόρμα ενδέχεται να ζητήσει συχνότερη επιβεβαίωση μέσω οπτικών δοκιμασιών (CAPTCHA), θεωρώντας τον επισκέπτη ενδεχομένως ύποπτο λόγω της απουσίας των τηλεμετρικών δεδομένων.
