صوت صامت من AliExpress أربك سماعات Bluetooth وربما ساهم في بصمة الأجهزة

قد يبدو الأمر للوهلة الأولى كأنه خلل غريب في سماعات لاسلكية متعددة النقاط: تفتح علامة تبويب على AliExpress، ثم ترفض السماعات تحويل الصوت مجددًا إلى الهاتف. لكن تحقيقًا مستقلًا أفاد بأن السبب المحتمل هو نشاط صوتي مخفي داخل الصفحة، لا أغنية أو مقطع فيديو غير ظاهر.

وبحسب التحقيق، أنشأ نصان برمجيان شديدا التمويه من بنية Alibaba الأمنية، هما collina.js وfireyejs.js، رسمَي معالجة عبر Web Audio. كان مستوى الكسب النهائي مضبوطًا على الصفر، لذلك لم يسمع المستخدم شيئًا، لكن الرسم ظل متصلًا بـ AudioContext.destination، أي بمخرج الصوت في المتصفح. وقد يتيح ذلك استمرار جلسة الصوت وإنتاج بيانات تختلف قليلًا من جهاز إلى آخر، بما يمكن استخدامه ضمن بصمة رقمية.

مع ذلك، من المهم عدم تجاوز ما تثبته الأدلة: فهي لا تتحقق من أن Brave كان صاحب الإفصاح الأصلي، ولا تثبت وجود اعتراف من Alibaba أو صدور قرار تنظيمي يعتبر الممارسة مخالفة للقانون.

كيف اكتُشف النشاط الصوتي المخفي؟

بدأت القصة من مشكلة عملية في سماعات Bluetooth تدعم الاتصال بجهازين أو أكثر. فعندما بقيت علامة تبويب AliExpress مفتوحة، لم تعد السماعات تحول الصوت إلى الهاتف. وباستخدام أدوات لمراقبة واجهة AudioContext في المتصفح، رُصد سياقا صوت مخفيان وقيد التشغيل، ثم نُسب إنشاؤهما إلى مجلد AWSC الأمني التابع لـ Alibaba وإلى عائلتي النصوص collina.js وfireyejs.js.

وأفاد التحقيق بأن السلسلة الصوتية تستخدم موجة معروفة، ثم تمررها عبر عقد تحليل ومعالجة، قبل خفض الكسب إلى الصفر وربطها بمخرج الصوت. ويمكن تبسيطها هكذا:

مذبذب → تحليل/معالجة → كسب 0 → AudioContext.destination

تمنع عقدة الكسب الصفري خروج صوت مسموع، لكنها لا تعني بالضرورة أن المتصفح توقف عن معالجة الرسم. وبما أن الرسم بقي متصلًا بمخرج الصوت، فقد يستمر المتصفح أو نظام التشغيل في اعتبار الصفحة صاحبة جلسة صوت نشطة. وهذا يقدم تفسيرًا محتملًا لمشكلة توجيه Bluetooth، لكنه لا يثبت أن السلوك نفسه سيظهر مع كل متصفح أو نظام تشغيل أو طراز من السماعات.

لماذا يمكن استخدام Web Audio لبصمة الجهاز؟

قد تختلف نتائج معالجة الصوت بدرجات طفيفة بين الأجهزة والبيئات البرمجية. ويمكن أن تنتج هذه الفروق عن المتصفح، ونظام التشغيل، ومكتبات الصوت، وبرامج التشغيل، والمكونات العتادية، وطريقة إجراء العمليات الحسابية.

يستطيع النص البرمجي قياس النتيجة الناتجة عن معالجة إشارة معروفة، ثم استخدام الاختلافات بوصفها إشارة ضمن بصمة الجهاز. ووصف التحقيق النصين بأنهما جزء من أدوات مكافحة إساءة الاستخدام أو الاحتيال، وقال إن القياس الصوتي يمكن دمجه مع إشارات أخرى، مثل بيانات Canvas وWebGL والشاشة والمتصفح والمكونات العتادية.

قد يجعل هذا الدمج التعرف إلى المتصفح أو الجهاز العائد أسهل، لكن الأدلة الموجودة على جانب العميل لا تكشف وحدها كيفية تخزين النتائج على الخادم، أو ربطها بهوية معينة، أو مدة الاحتفاظ بها، أو الجهات التي يمكن مشاركتها معها.

والفارق الأساسي هنا هو:

• مستوى صوت صفري: يعني أن المستخدم لا يفترض أن يسمع الإشارة.
• عدم وجود معالجة صوتية: يعني أن الرسم لم يُشغّل أصلًا أو أنه فُصل عن المخرج.
• عدم وجود تتبع: يعني أن نتيجة المعالجة لم تُجمع أو تُستخدم للتعرف إلى الجهاز.

هذه شروط مختلفة. فقد يظل الرسم الصوتي الصامت ينفذ عمليات حسابية ويكشف، بحسب طريقة تنفيذه، نتيجة قابلة للقياس.

لماذا قد لا يكفي كتم علامة التبويب؟

تستهدف أدوات كتم علامة التبويب أو الموقع عادةً الصوت المسموع. لكنها لا توقف بالضرورة JavaScript، ولا تعلّق كل كائنات AudioContext، ولا تفصل العقد الصوتية، ولا تحرر جلسة الصوت التي يحتفظ بها نظام التشغيل.

لهذا قد لا يحل كتم علامة AliExpress المشكلة المحددة. فالمسألة، وفق التقرير، ليست تسجيلًا صوتيًا خفيًا أو مقطعًا يُشغّل دون علم المستخدم، بل رسم Web Audio متصل بالمخرج ويظل نشطًا رغم ضبط الكسب على الصفر.

يمكن للمتصفح أن يفرض قيودًا أقوى على الرسوم الصامتة المتصلة بمخرج الصوت، لكن ذلك سيكون خيارًا في طريقة تنفيذ المتصفح، وليس المعنى المعتاد لزر الكتم.

ما الأسئلة المتعلقة بالخصوصية في الاتحاد الأوروبي؟

تنظم المادة 5(3) من توجيه الخصوصية الإلكترونية الأوروبي تخزين المعلومات على جهاز المستخدم النهائي، أو الوصول إلى معلومات مخزنة فيه أصلًا، مع وجود استثناءات محددة. وتتناول الإرشادات التقنية للمجلس الأوروبي لحماية البيانات، أو EDPB، تقنيات التتبع الناشئة من خلال ثلاثة أسئلة رئيسية: هل توجد معلومات؟ وهل تتعلق بـ جهاز المستخدم النهائي؟ وهل جرى تخزين المعلومات أو الوصول إليها؟ 17

يجعل هذا الإطار بصمة الأجهزة مسألة خصوصية جدية. لكن تطبيق المادة 5(3) على تقنية الصوت المحددة يتطلب فحصًا تفصيليًا لما تصل إليه النصوص البرمجية، وطبيعة المعلومات الناتجة، وكيفية استخدام العملية. فإرشادات EDPB ليست حكمًا على نصوص AliExpress، كما أن المصادر المتاحة لا تثبت أن هذه النصوص انتهكت قانون الاتحاد الأوروبي.

وإذا كانت البصمة الناتجة قادرة على تمييز شخص أو جهاز بعينه، فقد تظهر أسئلة إضافية بموجب قوانين حماية البيانات، مثل الشفافية، والأساس القانوني، وتحديد الغرض، وتقليل البيانات، وفترات الاحتفاظ، والأمن. ولا يثبت وصف الآلية بأنها «لمكافحة الاحتيال» تلقائيًا انطباق استثناء الخصوصية؛ إذ تظل الضرورة والقواعد الوطنية ذات الصلة عاملين مهمين.

كيف يقلل المستخدمون هذا النشاط؟

متصفح Brave

سبق أن وصفت Brave وسائل حماية من بصمة المتصفح تقلل أو تغيّر عشوائيًا الإشارات التي تكشفها واجهات برمجية، من بينها Canvas وWeb Audio. ويمكن لمثل هذه الحماية أن تجعل البصمات الصوتية أقل موثوقية، لكنها لا تعني ضمان حظر كل نص لمكافحة إساءة الاستخدام أو منع إنشاء كل رسم صوتي. 15

ونُسب إلى Brave أيضًا تصريح يفيد بأن وسائل حمايتها حجبت النصوص المحددة المرتبطة بـ AliExpress، لكن المواد المتاحة لا تتضمن منشورًا أوليًا من Brave يؤكد هذه الدعوى بعينها.

Firefox

لا تثبت الأدلة المتاحة ما إذا كانت إعدادات Firefox الافتراضية تمنع هذين النصين التابعين للطرف الأول تحديدًا. وقد تقلل الإعدادات الأقوى لمقاومة البصمة فائدة إشارات الجهاز، لكن لا ينبغي افتراض أن إعدادات الخصوصية العامة تمنع كل نص مخصص لمكافحة الاحتيال من التحميل.

uBlock Origin

يُعد الحظر على مستوى الشبكة أكثر مباشرة: فإذا لم يُحمّل collina.js وfireyejs.js، فلن يتمكنا من إنشاء سياقات الصوت التي رصدها التحقيق. وقد نُشرت قواعد مجتمعية تطابق مسارات AWSC ذات الصلة:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

قد تصبح هذه القواعد قديمة إذا غيّرت AliExpress النطاقات أو المسارات أو أسماء الملفات. وقد يحتاج المستخدم إلى إغلاق علامات AliExpress المفتوحة وإعادة فتحها حتى يبدأ تطبيق قاعدة جديدة. لذلك من الأفضل التحقق من المسارات الحالية بدل اعتبار القواعد المجتمعية حلًا دائمًا.

المفاضلة بين الخصوصية ومكافحة الاحتيال

أُفيد بأن النصين جزء من بنية Alibaba لمكافحة إساءة الاستخدام، ولذلك قد يؤثر حظرهما في سلوك الموقع. وتشمل النتائج المحتملة طلب تحقق إضافي، أو مشكلات في تسجيل الدخول أو إتمام الدفع، أو حالات عدم توافق أخرى؛ لكن الأدلة المتاحة لا تثبت أن التصفح أو الشراء العادي سيفشل دائمًا.

يمكن اختبار الأمر باستخدام ملف شخصي منفصل في المتصفح. وإذا أدى حظر النصوص إلى تعطيل وظيفة ضرورية، يستطيع المستخدم أن يقرر ما إذا كانت تلك الوظيفة تستحق السماح بها على الموقع.

الخلاصة الأدق أضيق من بعض العناوين المتداولة: أفاد تحقيق بوجود معالجة Web Audio صامتة تنفذها نصوص مرتبطة بـ AliExpress، مع احتمال استخدامها في بصمة الأجهزة وظهور أثر جانبي على توجيه صوت Bluetooth. لكنه لم يثبت أن Brave قدمت الإفصاح الأصلي، ولا كيف خزنت Alibaba البيانات أو استخدمتها على خوادمها، ولا أن جهة تنظيمية خلصت إلى عدم قانونية الممارسة.