AliExpress के ‘खामोश’ Web Audio ने Bluetooth हेडफोन को क्यों प्रभावित किया

मामला क्या है?

AliExpress से जुड़ी एक स्वतंत्र जांच में दावा किया गया कि Alibaba के सुरक्षा और एंटी-अब्यूज ढांचे में इस्तेमाल होने वाली दो अत्यधिक obfuscated स्क्रिप्ट—collina.js और fireyejs.js—छिपे हुए Web Audio प्रोसेसिंग ग्राफ चला रही थीं। इन ग्राफ का अंतिम gain शून्य पर सेट था, इसलिए उपयोगकर्ता को कोई आवाज़ सुनाई नहीं देती थी। इसके बावजूद वे AudioContext.destination से जुड़े हुए थे और ब्राउज़र में ऑडियो प्रोसेसिंग सक्रिय रख सकते थे।

हालांकि, इस घटना को लेकर सावधानी जरूरी है। उपलब्ध सामग्री यह प्रमाणित नहीं करती कि मूल खुलासा Brave ने किया था। न ही इससे Alibaba की कोई आधिकारिक स्वीकारोक्ति या किसी नियामक द्वारा गैरकानूनी गतिविधि का निष्कर्ष साबित होता है।

इसका पता कैसे चला?

जांच की शुरुआत एक व्यावहारिक Bluetooth समस्या से हुई। AliExpress का टैब खुला रहने पर मल्टीपॉइंट Bluetooth हेडफोन फोन पर ऑडियो वापस स्विच नहीं कर रहे थे। ब्राउज़र के AudioContext API की निगरानी करने पर दो छिपे हुए और सक्रिय ऑडियो संदर्भ मिले। इन्हें Alibaba के AWSC सुरक्षा डायरेक्टरी और collina.js तथा fireyejs.js स्क्रिप्ट परिवारों से जोड़ा गया।

रिपोर्ट किए गए ऑडियो ग्राफ का सरल रूप इस तरह था:

oscillator → analyser/processing → gain 0 → AudioContext.destination

Gain को शून्य करने से आवाज़ सुनाई नहीं देती, लेकिन इससे यह जरूरी नहीं कि ब्राउज़र ग्राफ को प्रोसेस करना बंद कर दे। जब ग्राफ ऑडियो destination से जुड़ा रहता है, तो ब्राउज़र या ऑपरेटिंग सिस्टम पेज को सक्रिय ऑडियो सेशन के रूप में देख सकता है। इससे Bluetooth ऑडियो रूटिंग प्रभावित होने की एक संभावित व्याख्या मिलती है, लेकिन उपलब्ध प्रमाण यह नहीं बताते कि हर ब्राउज़र, ऑपरेटिंग सिस्टम या हेडसेट पर ऐसा ही असर होगा।

Web Audio से डिवाइस की पहचान कैसे हो सकती है?

Web Audio का एक ही सिग्नल अलग-अलग डिवाइस और सॉफ्टवेयर वातावरण में मामूली रूप से अलग परिणाम दे सकता है। यह अंतर ब्राउज़र, ऑपरेटिंग सिस्टम, ऑडियो लाइब्रेरी, ड्राइवर, हार्डवेयर और संख्यात्मक प्रोसेसिंग से पैदा हो सकता है। किसी स्क्रिप्ट द्वारा इन परिणामों को मापकर डिवाइस फिंगरप्रिंट का एक हिस्सा तैयार किया जा सकता है।

जांच ने इन स्क्रिप्टों को एंटी-अब्यूज या एंटी-फ्रॉड कोड बताया और कहा कि ऑडियो माप को canvas, WebGL, स्क्रीन, ब्राउज़र और हार्डवेयर से जुड़े अन्य संकेतों के साथ जोड़ा जा सकता है। इससे लौटकर आने वाले ब्राउज़र या डिवाइस को पहचानना आसान हो सकता है। हालांकि, केवल क्लाइंट-साइड कोड से यह साबित नहीं होता कि ये परिणाम सर्वर पर कैसे रखे गए, किसी व्यक्ति की पहचान से जोड़े गए या कितने समय तक संरक्षित रहे।

यहां तीन बातों का अंतर समझना महत्वपूर्ण है:

• शून्य आवाज़: उपयोगकर्ता को सिग्नल सुनाई नहीं देगा।
• कोई ऑडियो प्रोसेसिंग नहीं: ग्राफ चला ही नहीं या उससे कनेक्शन काट दिया गया।
• कोई ट्रैकिंग नहीं: रेंडरिंग परिणाम एकत्र या पहचान के लिए इस्तेमाल नहीं किया गया।

इन तीनों का अर्थ अलग है। एक खामोश ऑडियो ग्राफ फिर भी कंप्यूटेशन कर सकता है और, सिस्टम के व्यवहार पर निर्भर करते हुए, मापने योग्य रेंडरिंग परिणाम दे सकता है।

टैब म्यूट करने से समस्या क्यों नहीं रुकती?

ब्राउज़र का टैब या साइट म्यूट विकल्प आमतौर पर केवल सुनाई देने वाले आउटपुट को रोकता है। इससे पेज का JavaScript जरूरी नहीं रुकता, हर AudioContext suspend नहीं होता, ऑडियो नोड्स disconnect नहीं होते और ऑपरेटिंग सिस्टम का ऑडियो सेशन भी अनिवार्य रूप से बंद नहीं होता।

इसी वजह से AliExpress टैब को म्यूट करना इस समस्या का पूरा समाधान नहीं हो सकता। रिपोर्ट में किसी छिपे हुए गाने, वीडियो या रिकॉर्डिंग का प्रमाण नहीं था। समस्या एक ऐसे output-connected Web Audio ग्राफ की बताई गई, जो gain शून्य होने पर भी सक्रिय रह सकता था।

ब्राउज़र चाहें तो ऐसे ग्राफ पर कड़े प्रतिबंध लगा सकते हैं, लेकिन यह सामान्य mute बटन के अर्थ से अलग एक ब्राउज़र-स्तरीय निर्णय होगा।

EU में गोपनीयता से जुड़ा सवाल

EU ePrivacy Directive का Article 5(3) उपयोगकर्ता के terminal equipment में जानकारी रखने या वहां पहले से मौजूद जानकारी तक पहुंचने को नियंत्रित करता है। European Data Protection Board (EDPB) की तकनीकी गाइडलाइन उभरती हुई ट्रैकिंग तकनीकों को तीन सवालों के आधार पर देखती है: क्या यहां जानकारी शामिल है, क्या यह terminal equipment से जुड़ी है, और क्या कोई संस्था जानकारी को स्टोर या एक्सेस कर रही है। 17

इस दृष्टिकोण से डिवाइस फिंगरप्रिंटिंग गंभीर गोपनीयता चिंता है। लेकिन इस खास ऑडियो तकनीक पर Article 5(3) लागू होता है या नहीं, यह तय करने के लिए विस्तृत तकनीकी और कानूनी समीक्षा जरूरी होगी—मसलन, स्क्रिप्ट डिवाइस में मौजूद जानकारी तक पहुंच रही थी या केवल नया कंप्यूटेशन परिणाम तैयार कर रही थी। EDPB की गाइडलाइन AliExpress की इन स्क्रिप्टों पर कोई फैसला नहीं है और उपलब्ध स्रोत यह साबित नहीं करते कि उन्होंने EU कानून तोड़ा।

यदि तैयार किया गया फिंगरप्रिंट किसी व्यक्ति या डिवाइस को अलग से पहचान सकता है, तो GDPR के तहत पारदर्शिता, वैध आधार, उद्देश्य-सीमा, डेटा न्यूनतमकरण, संग्रह-अवधि और सुरक्षा जैसे अतिरिक्त सवाल भी उठ सकते हैं। किसी कोड को “एंटी-फ्रॉड” कहना अपने-आप ePrivacy की छूट साबित नहीं करता; इसके लिए आवश्यकता और संबंधित देश के कानूनों का मूल्यांकन करना होगा।

उपयोगकर्ता अपनी सुरक्षा कैसे बढ़ा सकते हैं?

Brave

Brave ने ऐसी फिंगरप्रिंटिंग सुरक्षा का वर्णन किया है जो canvas और Web Audio जैसे API से मिलने वाले संकेतों को कम या randomize करती है। 15 इससे ऑडियो फिंगरप्रिंट कम भरोसेमंद हो सकते हैं, लेकिन इसका अर्थ यह नहीं कि हर एंटी-अब्यूज स्क्रिप्ट निश्चित रूप से ब्लॉक होगी या कोई ऑडियो ग्राफ बनेगा ही नहीं।

कुछ रिपोर्टों में Brave के हवाले से कहा गया कि उसकी सुरक्षा ने पहचानी गई AliExpress स्क्रिप्टों को ब्लॉक कर दिया था। लेकिन उपलब्ध सामग्री में इस विशेष दावे की पुष्टि करने वाली Brave की प्राथमिक पोस्ट शामिल नहीं है।

Firefox

उपलब्ध प्रमाण यह स्थापित नहीं करते कि Firefox की डिफॉल्ट सुरक्षा इन विशेष first-party स्क्रिप्टों को ब्लॉक करती है। मजबूत anti-fingerprinting सेटिंग्स डिवाइस-स्तरीय संकेतों की उपयोगिता घटा सकती हैं, लेकिन उपयोगकर्ताओं को यह मानकर नहीं चलना चाहिए कि सामान्य privacy settings हर कस्टम एंटी-फ्रॉड स्क्रिप्ट को लोड होने से रोक देंगी।

uBlock Origin

सबसे सीधा उपाय नेटवर्क स्तर पर स्क्रिप्ट को ब्लॉक करना है। यदि collina.js और fireyejs.js लोड ही नहीं होंगी, तो वे बताए गए ऑडियो संदर्भ नहीं बना पाएंगी। समुदाय द्वारा साझा किए गए uBlock Origin नियम इस प्रकार हैं:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

AliExpress अपने डोमेन, पाथ या फाइलनाम बदल सकता है, इसलिए ये नियम भविष्य में पुराने पड़ सकते हैं। नियम लागू करने के बाद खुले हुए AliExpress टैब बंद करके दोबारा खोलना भी जरूरी हो सकता है। इन्हें स्थायी समाधान मानने के बजाय मौजूदा resource paths से मिलाकर जांचना बेहतर है।

Privacy बनाम anti-fraud: क्या नुकसान हो सकता है?

क्योंकि इन स्क्रिप्टों को Alibaba के एंटी-अब्यूज ढांचे का हिस्सा बताया गया है, इन्हें ब्लॉक करने से साइट का व्यवहार बदल सकता है। अतिरिक्त verification, लॉगिन या checkout में समस्या और compatibility issues संभव हैं। हालांकि, उपलब्ध प्रमाण यह नहीं दिखाते कि सामान्य ब्राउज़िंग या खरीदारी हर उपयोगकर्ता के लिए अनिवार्य रूप से बंद हो जाएगी।

व्यावहारिक तौर पर अलग ब्राउज़र प्रोफाइल में पहले परीक्षण किया जा सकता है। यदि स्क्रिप्ट ब्लॉक करने से कोई जरूरी सुविधा टूटती है, तो उपयोगकर्ता तय कर सकते हैं कि उस सुविधा के बदले अतिरिक्त ट्रैकिंग जोखिम स्वीकार करना है या नहीं।

निष्कर्ष

सबसे सटीक निष्कर्ष यही है कि एक स्वतंत्र जांच ने AliExpress से जुड़े दो स्क्रिप्ट परिवारों द्वारा खामोश Web Audio प्रोसेसिंग की रिपोर्ट की। इसका संभावित उद्देश्य डिवाइस फिंगरप्रिंटिंग बताया गया और इसका एक साइड इफेक्ट Bluetooth ऑडियो रूटिंग में दखल हो सकता है।

लेकिन उपलब्ध सामग्री Brave के मूल खुलासे की पुष्टि नहीं करती, Alibaba द्वारा डेटा के सर्वर-साइड इस्तेमाल या संग्रह का तरीका नहीं बताती और इसे किसी नियामक का गैरकानूनी गतिविधि संबंधी फैसला नहीं माना जा सकता।