สคริปต์ “เสียงเงียบ” ของ AliExpress ถูกกล่าวหาว่ารบกวนหูฟัง Bluetooth

มีรายงานการตรวจสอบอิสระว่า สคริปต์ความปลอดภัยของ Alibaba ที่ทำงานบน AliExpress สองตัว ได้แก่ collina.js และ fireyejs.js ซึ่งถูกทำให้อ่านได้ยากอย่างมาก ได้สร้างกราฟประมวลผลเสียง Web Audio ที่ซ่อนอยู่ กราฟดังกล่าวไม่น่าจะมีเสียงให้ผู้ใช้ได้ยิน เพราะขั้นสุดท้ายตั้งค่า gain เป็นศูนย์ แต่ยังเชื่อมต่อกับ AudioContext.destination ซึ่งเป็นจุดส่งออกเสียงของระบบ จึงอาจทำให้เซสชันเสียงของเบราว์เซอร์ยังทำงานอยู่และสร้างข้อมูลการเรนเดอร์ที่แตกต่างกันไปตามอุปกรณ์ได้

อย่างไรก็ตาม ประเด็นนี้ไม่ควรถูกสรุปเกินหลักฐานที่มีอยู่ ข้อมูลที่ได้รับยังไม่ยืนยันว่า Brave เป็นผู้เปิดเผยเรื่องนี้ตั้งแต่แรก และยังไม่มีหลักฐานว่า Alibaba ยอมรับการดำเนินการดังกล่าวหรือหน่วยงานกำกับดูแลวินิจฉัยว่าเป็นการกระทำผิดกฎหมาย

พบกิจกรรมเสียงที่ซ่อนอยู่ได้อย่างไร

จุดเริ่มต้นมาจากปัญหาการใช้งานจริง ผู้ตรวจสอบพบว่าหูฟัง Bluetooth ที่รองรับการเชื่อมต่อหลายอุปกรณ์ไม่ยอมสลับเสียงกลับไปยังโทรศัพท์ ขณะที่ยังเปิดแท็บ AliExpress ค้างอยู่ เมื่อตรวจสอบการเรียกใช้ API AudioContext ของเบราว์เซอร์ พบว่ามีบริบทเสียงสองชุดทำงานอยู่เบื้องหลัง และติดตามการสร้างกลับไปยังไดเรกทอรีความปลอดภัย AWSC ของ Alibaba รวมถึงตระกูลสคริปต์ collina.js และ fireyejs.js

รายงานระบุว่าเส้นทางเสียงใช้สัญญาณรูปคลื่นที่ทราบค่า ผ่านโหนดวิเคราะห์และประมวลผล จากนั้นส่งผ่านขั้นตอนที่ตั้ง gain เป็นศูนย์ ก่อนเชื่อมต่อกับเอาต์พุตเสียง โดยอธิบายแบบย่อได้ดังนี้

oscillator → analyser/processing → gain 0 → AudioContext.destination

โหนดที่ตั้ง gain เป็นศูนย์ทำให้ไม่มีเสียงที่ผู้ใช้ได้ยิน แต่ไม่ได้แปลว่าเบราว์เซอร์จะไม่ประมวลผลกราฟเสียงนั้นเสมอไป เมื่อกราฟยังเชื่อมต่อกับ destination เบราว์เซอร์หรือระบบปฏิบัติการอาจยังถือว่าแท็บดังกล่าวมีเซสชันเสียงที่ทำงานอยู่ ซึ่งเป็นคำอธิบายที่เป็นไปได้ของปัญหาการจัดเส้นทางเสียง Bluetooth อย่างไรก็ดี หลักฐานที่มีไม่ได้ยืนยันว่าพฤติกรรมนี้จะเกิดขึ้นกับเบราว์เซอร์ ระบบปฏิบัติการ หรือหูฟังทุกประเภท

ทำไมเสียงที่ไม่ได้ยินจึงอาจใช้ทำ Fingerprinting ได้

การเรนเดอร์เสียงด้วย Web Audio อาจแตกต่างกันเล็กน้อยในอุปกรณ์และสภาพแวดล้อมซอฟต์แวร์แต่ละแบบ ความแตกต่างอาจมาจากเบราว์เซอร์ ระบบปฏิบัติการ ไลบรารีเสียง ไดรเวอร์ ฮาร์ดแวร์ และวิธีคำนวณตัวเลขของระบบ

สคริปต์สามารถวัดผลลัพธ์ที่เรนเดอร์ได้ แล้วใช้ความแตกต่างเหล่านี้เป็นส่วนหนึ่งของ “ลายนิ้วมืออุปกรณ์” หรือ device fingerprint การตรวจสอบระบุว่าสคริปต์ทั้งสองเป็นส่วนหนึ่งของโค้ดป้องกันการใช้งานในทางที่ผิดหรือป้องกันการทุจริต และรายงานว่าอาจนำค่าการวัดเสียงไปประกอบกับสัญญาณอื่น เช่น canvas, WebGL, ข้อมูลหน้าจอ เบราว์เซอร์ และฮาร์ดแวร์

การรวมสัญญาณหลายประเภทอาจช่วยให้เว็บไซต์จดจำเบราว์เซอร์หรืออุปกรณ์ที่กลับมาใช้งานอีกครั้งได้แม่นยำขึ้น แต่หลักฐานจากฝั่งไคลเอนต์เพียงอย่างเดียวไม่สามารถบอกได้แน่ชัดว่า ผลลัพธ์ถูกจัดเก็บอย่างไร นำไปจับคู่กับตัวตนหรือไม่ เก็บไว้นานเท่าใด หรือถูกแบ่งปันกับใครบ้าง

จุดสำคัญคือคำต่อไปนี้ไม่ได้มีความหมายเหมือนกัน

• เสียงเป็นศูนย์ หมายถึงผู้ใช้ไม่ควรได้ยินสัญญาณ
• ไม่มีการประมวลผลเสียง หมายถึงกราฟไม่ถูกเรียกใช้งานหรือถูกตัดการเชื่อมต่อ
• ไม่มีการติดตาม หมายถึงผลลัพธ์การเรนเดอร์ไม่ได้ถูกเก็บหรือใช้เพื่อจดจำผู้ใช้หรืออุปกรณ์

ดังนั้น กราฟเสียงที่เงียบสนิทก็ยังสามารถคำนวณข้อมูล และอาจเปิดเผยผลลัพธ์การเรนเดอร์ที่นำไปวัดได้ ขึ้นอยู่กับวิธีที่สคริปต์ทำงาน

ทำไมการปิดเสียงแท็บจึงอาจไม่ช่วย

ปุ่มปิดเสียงแท็บหรือเว็บไซต์โดยทั่วไปมุ่งหยุดเสียงที่ผู้ใช้จะได้ยิน ไม่ได้หมายความว่าจะหยุด JavaScript ทั้งหมด สั่งระงับ AudioContext ทุกตัว ตัดการเชื่อมต่อของโหนดเสียง หรือปล่อยเซสชันเสียงของระบบปฏิบัติการเสมอไป

นี่จึงเป็นเหตุผลที่การปิดเสียงแท็บ AliExpress อาจไม่แก้ปัญหานี้ กรณีที่ถูกรายงานไม่ได้ชี้ว่ามีเพลง วิดีโอ หรือการบันทึกเสียงลับที่ผู้ใช้ได้ยิน แต่เป็นผลข้างเคียงจากกราฟ Web Audio ที่ยังเชื่อมต่อกับเอาต์พุตและทำงานอยู่ แม้ gain จะถูกตั้งเป็นศูนย์

เบราว์เซอร์สามารถเลือกใช้มาตรการที่เข้มงวดกว่านี้กับกราฟเสียงที่เชื่อมต่อเอาต์พุตแต่ไม่มีเสียงได้ ทว่าเป็นทางเลือกด้านการออกแบบของเบราว์เซอร์ ไม่ใช่ความหมายปกติของคำสั่ง “ปิดเสียง”

ประเด็นความเป็นส่วนตัวและกฎหมายสหภาพยุโรป

มาตรา 5(3) ของ ePrivacy Directive ครอบคลุมการจัดเก็บข้อมูลบนอุปกรณ์ปลายทางของผู้ใช้ หรือการเข้าถึงข้อมูลที่จัดเก็บอยู่ในอุปกรณ์นั้น โดยมีข้อยกเว้นเฉพาะบางกรณี คณะกรรมการคุ้มครองข้อมูลยุโรป หรือ EDPB ใช้กรอบคำถามทางเทคนิคสามประการในการประเมินเทคโนโลยีติดตามรูปแบบใหม่ ได้แก่ มี ข้อมูล หรือไม่ เกี่ยวข้องกับ อุปกรณ์ปลายทาง หรือไม่ และมีการ จัดเก็บหรือเข้าถึง ข้อมูลหรือไม่ 17

กรอบดังกล่าวทำให้การสร้างลายนิ้วมืออุปกรณ์เป็นประเด็นความเป็นส่วนตัวที่จริงจัง แต่การจะตัดสินว่าเทคนิคเสียงนี้เข้าข่ายมาตรา 5(3) หรือไม่ จำเป็นต้องตรวจสอบรายละเอียดทางเทคนิคเพิ่มเติม เช่น สคริปต์เข้าถึงข้อมูลที่มีอยู่ในอุปกรณ์หรือเพียงสร้างผลลัพธ์จากการคำนวณใหม่ และผลลัพธ์นั้นถูกนำไปใช้อย่างไร

แนวทางของ EDPB เป็นคำแนะนำด้านขอบเขตทางเทคนิค ไม่ใช่คำวินิจฉัยต่อสคริปต์ของ AliExpress โดยเฉพาะ และแหล่งข้อมูลที่มีไม่ได้ยืนยันว่าการทำงานของสคริปต์ดังกล่าวละเมิดกฎหมายสหภาพยุโรป

หากลายนิ้วมือที่ได้สามารถระบุหรือแยกแยะบุคคลหรืออุปกรณ์ใดอุปกรณ์หนึ่งได้ ก็อาจเกิดคำถามด้านการคุ้มครองข้อมูลเพิ่มเติม เช่น ความโปร่งใส ฐานทางกฎหมาย การจำกัดวัตถุประสงค์ การเก็บข้อมูลเท่าที่จำเป็น ระยะเวลาการเก็บรักษา และความปลอดภัย การระบุว่าโค้ดมีวัตถุประสงค์ป้องกันการทุจริตไม่ได้พิสูจน์โดยอัตโนมัติว่าเข้าข่ายข้อยกเว้นของ ePrivacy เพราะยังต้องพิจารณาความจำเป็นและกฎหมายที่แต่ละประเทศนำไปบังคับใช้

ผู้ใช้ลดกิจกรรมนี้ได้อย่างไร

Brave

Brave ระบุในเอกสารสาธารณะว่า มีระบบป้องกัน fingerprinting ซึ่งลดหรือสุ่มสัญญาณที่เว็บไซต์เข้าถึงได้ผ่าน API ต่าง ๆ รวมถึง canvas และ Web Audio 15 การป้องกันลักษณะนี้อาจทำให้ลายนิ้วมือเสียงมีความน่าเชื่อถือน้อยลง แต่ไม่ใช่การรับประกันว่าจะบล็อกสคริปต์ป้องกันการทุจริตทุกชนิด หรือป้องกันไม่ให้มีการสร้างกราฟเสียงเลย

มีรายงานที่อ้างคำกล่าวของ Brave ว่าสคริปต์ AliExpress ที่ถูกระบุถูกบล็อกด้วยระบบป้องกันของเบราว์เซอร์ แต่ข้อมูลที่ได้รับไม่มีโพสต์ต้นฉบับจาก Brave ที่ยืนยันคำกล่าวเฉพาะกรณีนี้

Firefox

หลักฐานที่มีไม่สามารถยืนยันได้ว่า การตั้งค่าป้องกันเริ่มต้นของ Firefox บล็อกสคริปต์จากเว็บไซต์ต้นทางสองตัวนี้โดยเฉพาะ การเปิดใช้การตั้งค่าป้องกัน fingerprinting ที่เข้มงวดขึ้นอาจลดประโยชน์ของสัญญาณระดับอุปกรณ์ แต่ผู้ใช้ไม่ควรสมมติว่าการตั้งค่าความเป็นส่วนตัวทั่วไปจะหยุดสคริปต์ป้องกันการทุจริตที่สร้างขึ้นเฉพาะสำหรับเว็บไซต์ทุกตัว

uBlock Origin

การบล็อกในระดับเครือข่ายเป็นวิธีที่ตรงจุดกว่า เพราะหาก collina.js และ fireyejs.js โหลดไม่สำเร็จ สคริปต์ก็ไม่สามารถสร้าง AudioContext ตามที่รายงานได้ มีตัวกรองที่ชุมชนเผยแพร่สำหรับเส้นทาง AWSC ของ AliExpress ดังนี้

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

ผู้ใช้สามารถเพิ่มกฎเหล่านี้ในส่วน My filters ของ uBlock Origin แล้วกดใช้การเปลี่ยนแปลง จากนั้นควรปิดแท็บ AliExpress เดิมและเปิดใหม่ เนื่องจากแท็บที่เปิดค้างอยู่อาจโหลดสคริปต์ไปแล้ว

กฎเหล่านี้อาจใช้ไม่ได้ในอนาคต หาก AliExpress เปลี่ยนโดเมน เส้นทางไฟล์ หรือชื่อสคริปต์ ผู้ใช้จึงควรตรวจสอบเส้นทางทรัพยากรปัจจุบัน และไม่ถือว่ากฎจากชุมชนเป็นวิธีถาวร

ความเป็นส่วนตัวแลกกับการป้องกันการทุจริต

มีการรายงานว่าสคริปต์ทั้งสองเป็นส่วนหนึ่งของโครงสร้างพื้นฐานป้องกันการใช้งานในทางที่ผิดของ Alibaba ดังนั้นการบล็อกอาจกระทบการทำงานของเว็บไซต์ เช่น ต้องยืนยันตัวตนเพิ่มขึ้น พบ CAPTCHA มากขึ้น หรือเกิดปัญหาในการเข้าสู่ระบบและชำระเงิน อย่างไรก็ตาม หลักฐานที่มีไม่ได้แสดงว่าการใช้งานทั่วไปหรือการซื้อสินค้าจะล้มเหลวทุกครั้ง

วิธีทดสอบที่ปลอดภัยกว่าคือใช้โปรไฟล์เบราว์เซอร์แยกต่างหาก หากการบล็อกทำให้ฟังก์ชันที่จำเป็นใช้งานไม่ได้ ผู้ใช้จึงค่อยตัดสินใจว่าจะยอมให้สคริปต์ทำงานบนเว็บไซต์นั้นหรือไม่

ข้อสรุปที่รอบคอบกว่าพาดหัวข่าวบางส่วนคือ มีการตรวจสอบที่รายงานว่าสคริปต์สองตัวซึ่งเชื่อมโยงกับ AliExpress ใช้การประมวลผล Web Audio แบบไร้เสียง อาจมีวัตถุประสงค์ด้าน fingerprinting และมีผลข้างเคียงต่อการจัดเส้นทางเสียง Bluetooth แต่เรื่องนี้ยังไม่พิสูจน์ว่า Brave เป็นผู้ค้นพบตั้งแต่แรก ไม่ได้แสดงให้เห็นว่า Alibaba จัดเก็บหรือใช้ข้อมูลฝั่งเซิร์ฟเวอร์อย่างไร และไม่ใช่คำวินิจฉัยทางกฎหมายว่าการกระทำดังกล่าวผิดกฎหมาย