На главной странице AliExpress обнаружили механизм, который незаметно использует звуковую подсистему браузера и может применяться для формирования цифрового отпечатка устройства. Исследователь обратил внимание на необычное поведение сайта после того, как его Bluetooth-наушники с поддержкой одновременного подключения переставали нормально переключаться с компьютера на смартфон, пока в браузере оставалась открыта вкладка маркетплейса.
Проблема сохранялась даже после отключения звука вкладки, хотя никаких видеороликов, музыки или других заметных медиаматериалов на странице не воспроизводилось. После закрытия AliExpress работа наушников сразу восстанавливалась. Более подробная проверка показала, что сайт создавал два скрытых аудиоконтекста через Web Audio API, которые продолжали взаимодействовать с системным аудиовыходом, несмотря на отсутствие слышимого пользователем звука.
За эту работу отвечают сильно обфусцированные скрипты collina.js и fireyejs.js, относящиеся к системе защиты Alibaba AWSC. Они создают звуковой сигнал пилообразной формы, пропускают его через средства анализа браузера, а перед выводом устанавливают громкость на нулевой уровень. В результате человек ничего не слышит, однако браузер продолжает обрабатывать аудиосигнал как активный звуковой поток.
Исследователь предполагает, что такая технология является частью системы фингерпринтинга. Один и тот же искусственно созданный аудиосигнал может немного по-разному обрабатываться в зависимости от версии браузера, операционной системы, используемых аудиобиблиотек и аппаратной конфигурации компьютера. Эти различия могут использоваться для формирования характеристики устройства, особенно в сочетании с другими техническими параметрами.
Проверка скриптов показала, что они собирают не только информацию о работе аудиоподсистемы. В набор анализируемых параметров входят особенности Canvas и WebGL, разрешение экрана, объем памяти, число процессорных потоков, поддерживаемые мультимедийные форматы, характеристики WebRTC, производительность браузера, а также данные о движениях мыши и сенсорных событиях. Совокупность такой информации позволяет создать более устойчивый цифровой отпечаток браузера и устройства.
При этом по клиентскому коду невозможно достоверно определить, как именно AliExpress использует полученную информацию после ее отправки на серверы. Она может применяться для идентификации устройств между посещениями, а также в антифрод-системах, предназначенных для выявления ботов, поддельных аккаунтов, автоматизированных покупок, злоупотреблений скидками и других подозрительных действий.
Обычное отключение звука во вкладке браузера не решает проблему, поскольку на странице отсутствует стандартный аудио- или видеоэлемент. Исследователь смог прекратить создание скрытых аудиоконтекстов после блокировки соответствующих скриптов. При этом отключение компонентов антифрод-системы потенциально может привести к появлению дополнительных проверок при входе в аккаунт, оформлении заказов или проведении платежей.