AliExpress’ “lydløse” Web Audio-fingeraftryk satte angiveligt Bluetooth på pause

En uafhængig undersøgelse har rapporteret, at to kraftigt obfuskerede Alibaba-scripts på AliExpress – collina.js og fireyejs.js – oprettede skjulte Web Audio-grafer. Graferne var angiveligt uhørlige, fordi den sidste forstærkning var sat til nul, men de var stadig forbundet med AudioContext.destination. Det kan have holdt browserens lydsession aktiv og skabt enhedsspecifikke renderingsdata.

Historien bør dog ikke overfortolkes. Det fremlagte materiale bekræfter ikke, at Brave stod bag den oprindelige afsløring, og det dokumenterer hverken en indrømmelse fra Alibaba eller en myndighedsafgørelse om, at metoden var ulovlig.

Problemet blev opdaget via Bluetooth-høretelefoner

Undersøgelsen begyndte med et konkret irritationsmoment: Høretelefoner med multipoint-forbindelse ville ikke skifte lyden tilbage til en telefon, mens en AliExpress-fane stod åben. Ved at overvåge browserens AudioContext-API blev der angiveligt fundet to skjulte lydkontekster, som stadig kørte. De blev sporet til Alibaba AWSC’s sikkerhedsmappe og scriptfamilierne collina.js og fireyejs.js.

Den rapporterede lydkæde bestod af en kendt bølgeform samt analyse- og behandlingsnoder, før signalet gik gennem et trin med nul forstærkning og videre til lydoutputtet. Forenklet så kæden sådan ud:

oscillator → analysering/behandling → gain 0 → AudioContext.destination

En gain-værdi på nul betyder, at brugeren ikke bør kunne høre signalet. Det betyder ikke nødvendigvis, at browseren holder op med at behandle lydgrafen. Når grafen fortsat er forbundet med destinationen, kan browseren eller operativsystemet stadig opfatte siden som en aktiv lydkilde. Det giver en sandsynlig forklaring på Bluetooth-problemet, men materialet viser ikke, at alle browsere, operativsystemer eller høretelefoner vil reagere på samme måde.

Sådan kan lyd bruges til fingeraftryk

Web Audio-rendering kan variere en smule fra enhed til enhed og fra softwaremiljø til softwaremiljø. Forskellene kan blandt andet skyldes browser, operativsystem, lydbiblioteker, drivere, hardware og numeriske beregninger. Et script kan måle det renderede resultat og bruge variationerne som en del af et digitalt enheds-fingeraftryk.

Undersøgelsen beskrev scriptsene som en del af Alibaba’s anti-misbrugs- eller antifraud-kode og rapporterede, at lydmålingen kunne kombineres med andre signaler – blandt andet canvas, WebGL, skærmdata samt browser- og hardwareoplysninger. En sådan kombination kan gøre det lettere at genkende en browser eller enhed, der vender tilbage. Klientkoden alene viser dog ikke, hvordan resultaterne blev gemt, koblet til en identitet, opbevaret eller delt.

Den vigtige forskel er derfor:

• Nul lydstyrke betyder, at brugeren ikke bør høre signalet.
• Ingen lydbehandling ville betyde, at grafen aldrig blev kørt eller var koblet fra.
• Ingen sporing ville betyde, at renderingsresultatet ikke blev indsamlet eller brugt til genkendelse.

Det er tre forskellige ting. En lydløs lydgraf kan stadig udføre beregninger og – afhængigt af implementeringen – levere et målbart renderingsresultat.

Hvorfor lydløs-funktionen ikke nødvendigvis hjælper

Browserens knap til at slå en fane eller et websted på lydløs retter sig normalt mod den hørbare lyd. Den stopper ikke nødvendigvis sidens JavaScript, suspenderer alle AudioContext-objekter, kobler lydnoderne fra eller frigiver operativsystemets lydsession.

Derfor behøver det ikke at løse problemet at slå AliExpress-fanen på lydløs. Der var ifølge rapporten ikke tale om en skjult sang, video eller hørbar optagelse, men om en output-forbundet Web Audio-graf, der fortsatte med at være aktiv, selv om forstærkningen var sat til nul.

En browser kunne vælge at begrænse lydgrafer, der er forbundet med outputtet, men det ville være en særlig browserbeslutning – ikke den normale betydning af en mute-funktion.

Hvad betyder det for EU’s privatlivsregler?

Artikel 5, stk. 3, i EU’s ePrivacy-direktiv regulerer lagring af oplysninger på brugerens terminaludstyr eller adgang til oplysninger, der allerede er lagret dér. Der findes specifikke undtagelser. Det Europæiske Databeskyttelsesråds (EDPB) tekniske retningslinjer vurderer nye sporingsmetoder ud fra tre spørgsmål: om der findes oplysninger, om de vedrører terminaludstyr, og om en aktør foretager lagring eller adgang. 17

Rammen gør enheds-fingeraftryk til et alvorligt privatlivsspørgsmål. Men en konkret vurdering af netop denne lydteknik kræver en nærmere analyse af, hvad scriptsene tilgår, hvilke oplysninger der skabes, og hvordan operationen anvendes. EDPB’s retningslinjer er ikke en afgørelse om AliExpress’ scripts, og de fremlagte kilder fastslår ikke, at scriptsene overtrådte EU-retten.

Hvis et fingeraftryk kan udpege en bestemt person eller enhed, kan der også opstå spørgsmål efter databeskyttelsesreglerne, blandt andet om gennemsigtighed, behandlingsgrundlag, formålsbegrænsning, dataminimering, opbevaringsperiode og sikkerhed. At kode beskrives som antifraud, beviser ikke i sig selv, at en undtagelse i ePrivacy-reglerne gælder. Det afhænger blandt andet af nødvendigheden og den relevante nationale gennemførelse.

Sådan kan brugere begrænse aktiviteten

Brave

Brave har offentligt beskrevet beskyttelse mod fingeraftryk, der reducerer eller randomiserer signaler, som web-API’er kan afsløre, herunder via canvas og Web Audio. 15 Den type beskyttelse kan gøre lydfingeraftryk mindre pålidelige, men er ikke det samme som en garanti for, at alle antifraud-scripts blokeres, eller at ingen lydgraf bliver oprettet.

Medier har også gengivet en udtalelse fra Brave om, at de identificerede AliExpress-scripts blev blokeret af browserens beskyttelse. Det fremlagte materiale indeholder dog ikke et primært Brave-opslag, der bekræfter netop denne påstand.

Firefox

De tilgængelige beviser fastslår ikke, om Firefox’ standardbeskyttelse blokerer netop disse førstepartsscripts. Strammere indstillinger mod fingeraftryk kan reducere værdien af enhedssignaler, men brugere bør ikke gå ud fra, at generelle privatlivsindstillinger forhindrer alle specialbyggede antifraud-scripts i at blive indlæst.

uBlock Origin

En blokering på netværksniveau er mere direkte: Hvis collina.js og fireyejs.js ikke indlæses, kan scriptsene ikke oprette de rapporterede lydkontekster. Et community-publiceret filter indeholdt regler, der matcher de relevante AliExpress AWSC-stier:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

Reglerne kan blive forældede, hvis AliExpress ændrer domæner, stier eller filnavne. Det kan også være nødvendigt at lukke eksisterende AliExpress-faner og åbne siden igen, før en ny blokeringsregel træder i kraft. Community-regler bør derfor kontrolleres mod de aktuelle ressource-stier i stedet for at blive betragtet som permanente.

Privatliv kontra antifraud-kontrol

Scriptsene blev rapporteret som en del af Alibaba’s infrastruktur mod misbrug, så en blokering kan påvirke sidens funktioner. Mulige konsekvenser er ekstra kontrol, problemer med login eller betaling og andre kompatibilitetsfejl. Materialet viser dog ikke, at almindelig browsing eller køb altid vil mislykkes.

En separat browserprofil er en praktisk måde at teste effekten på. Hvis blokeringen ødelægger en funktion, du har brug for, kan du tage stilling til, om funktionen er vigtig nok til at tillade scriptsene på netop det websted.

Den mest præcise konklusion er smallere end de mest dramatiske overskrifter: En undersøgelse rapporterede lydløs Web Audio-behandling fra to AliExpress-relaterede scripts med et muligt formål inden for fingeraftryk og en bivirkning for Bluetooth-lydrouting. Den beviste ikke, at Brave stod bag den oprindelige opdagelse, viste ikke hvordan Alibaba brugte eller opbevarede data på serversiden og udgjorde ikke en juridisk afgørelse.