Programador relata que o site do AliExpress emitiu áudio inaudível para criar uma impressão digital do navegador, uma técnica que, segundo o próprio, chegou a interferir com auscultadores Bluetooth.
O AliExpress está a ser acusado de tentar identificar e rastrear visitantes do seu site através de uma técnica de audio fingerprinting que emite sinais sonoros inaudíveis, um método que, segundo um programador, chegou a interferir com o funcionamento dos seus auscultadores Bluetooth.
O engenheiro de software Matt Callaghan relatou que, ao abrir o site do AliExpress no Firefox ou no Chrome, a música que estava a ouvir no telemóvel – ligado em multiponto aos mesmos auscultadores – parava subitamente, mesmo sem haver qualquer vídeo, música ou elemento de média visível na página. Segundo descreveu no seu blogue, o problema era consistente: bastava fechar o separador do AliExpress para o áudio do telemóvel voltar a funcionar, e medidas como silenciar o separador, o navegador ou o próprio Windows não resolviam.
Callaghan disse não ter encontrado elementos convencionais de áudio ou vídeo na página, mas identificou dois scripts de áudio “extremamente ofuscados integrados” nas ferramentas de segurança e anti-abuso do site. Esses scripts criavam um grafo WebAudio com um oscilador em forma de onda “sawtooth” (dente de serra), um analisador para medir o resultado após o sinal passar pela implementação de áudio do navegador e um script para ler os dados de frequência associados. O ganho (gain) do áudio era definido como zero, pelo que o utilizador não ouvia nada, mas o processamento de áudio ocorria mesmo assim no navegador.
No caso concreto de Callaghan, esse processamento de áudio em segundo plano pareceu ser suficiente para que o Firefox ou o Windows mantivessem o caminho de áudio Bluetooth ativo, impedindo que os auscultadores multiponto voltassem a comutar corretamente para o telemóvel.
Além do mecanismo de áudio, o programador afirmou ter encontrado no código indícios de recolha de dados relacionados com dimensões do ecrã, memória do dispositivo, extensões do navegador, renderização WebGL, eventos do rato e outros parâmetros. Segundo o próprio, tudo isto, somado a sinais de que o AliExpress encripta e envia esses dados para serviços de telemetria próprios, configura “uma impressão digital bastante abrangente do navegador e do dispositivo”.
Apesar de Callaghan ter afirmado conseguir reproduzir o problema tanto no Firefox como no Chrome, a equipa do Firefox disse que as suas proteções anti-fingerprinting neutralizam este tipo de truques. Num comunicado nas redes sociais, o projeto apontou para uma explicação técnica de Tom Ritter, engenheiro de segurança da equipa Firefox, segundo a qual, desde a versão 118 (setembro de 2023), as proteções introduzidas eliminaram a eficácia do fingerprinting baseado em WebAudio.
Essas proteções não tentam bloquear o fingerprinting na origem; em vez disso, agrupam os utilizadores em categorias genéricas, fazendo com que muitos pareçam idênticos do ponto de vista da impressão digital, o que anula o valor do rastreamento.
Por seu lado, a equipa do browser Brave afirmou que protege os utilizadores contra fingerprinting há seis anos. Segundo explicaram, o navegador injeta dados aleatórios na saída do browser, de modo a que cada site veja uma impressão digital diferente, que ainda por cima é redefinida entre sessões. Para além disso, o Brave bloqueia por defeito os scripts específicos usados pelo AliExpress para este método de rastreamento por áudio, sem que o utilizador tenha de alterar qualquer configuração.
Quanto ao Chrome e ao Safari, Ritter disse que “provavelmente têm defesas” contra esta variante de fingerprinting. O Safari implementa uma proteção avançada contra rastreamento e fingerprinting que impede, entre outras coisas, o tracking baseado em WebAudio. A abordagem é diferente da do Firefox, injetando erros de áudio num buffer em vez de tentar colocar todos os utilizadores no mesmo bucket.
Por sua vez, o Chrome, segundo o consultor de privacidade Alexander Hanff, não protege os utilizadores de forma tão agressiva contra fingerprinting. Hanff escreveu no início do ano que existem “pelo menos trinta técnicas distintas de fingerprinting que funcionam no Chrome neste preciso momento”, referindo-se a métodos reais, em produção em milhões de sites, e não a ataques teóricos de laboratório.
