AliExpress’in sessiz ses parmak izi Bluetooth kulaklıkları neden etkiledi?

Bağımsız bir incelemeye göre AliExpress’te kullanılan, Alibaba’nın güvenlik altyapısıyla ilişkilendirilen ve yoğun biçimde gizlenmiş iki betik — collina.js ile fireyejs.js — görünmez Web Audio işlem grafikleri oluşturdu. Bu grafiklerin son ses kazancı sıfıra ayarlandığı için kullanıcıların herhangi bir ses duymadığı, ancak grafiklerin AudioContext.destination noktasına bağlı kalmaya devam ettiği bildirildi. Bu durum, tarayıcının ses oturumunu aktif tutarak cihaza özgü ses işleme verileri üretmesine yol açmış olabilir.

Bu olayı olduğundan büyük göstermemek gerekiyor. Mevcut kanıtlar, ilk açıklamayı Brave’in yaptığını doğrulamıyor. Ayrıca Alibaba’nın bir itirafta bulunduğunu veya bir düzenleyici kurumun bu uygulamanın hukuka aykırı olduğuna karar verdiğini göstermiyor.

Gizli ses işlemleri nasıl fark edildi?

İnceleme, pratik bir Bluetooth sorunuyla başladı: Çoklu bağlantı (multipoint) destekli kulaklıklar, AliExpress sekmesi açıkken sesi telefona geri aktarmıyordu. Tarayıcının AudioContext API’si izlenince, arka planda çalışan iki gizli ses bağlamı tespit edildi. Bunların kaynağı, Alibaba’nın AWSC güvenlik dizini ve collina.js ile fireyejs.js betik aileleriyle ilişkilendirildi.

Bildirilen ses zincirinde bilinen bir dalga biçimi, analiz ve işlem düğümleri, sıfır kazançlı bir aşama ve ses çıkışına bağlantı bulunuyordu. Basitleştirilmiş akış şöyleydi:

osilatör → analiz/işleme → kazanç 0 → AudioContext.destination

Sıfır kazanç, sinyalin duyulmasını engeller; ancak tarayıcının bu grafiği işlemeye devam etmesini zorunlu olarak engellemez. Grafik ses çıkışına bağlı kaldığı için tarayıcı veya işletim sistemi sayfada aktif bir ses oturumu bulunduğunu varsayabilir. Bu, Bluetooth yönlendirmesiyle ilgili yan etki için makul bir açıklama sunuyor. Bununla birlikte mevcut materyal, her tarayıcı, işletim sistemi veya kulaklığın aynı şekilde davranacağını ortaya koymuyor.

Sessiz ses işlemi parmak izi oluşturmada nasıl kullanılabilir?

Web Audio çıktıları cihazlar ve yazılım ortamları arasında küçük farklılıklar gösterebilir. Bu farklılıkların kaynağı tarayıcı, işletim sistemi, ses kitaplıkları, sürücüler, donanım ve sayısal işleme yöntemleri olabilir. Bir betik, işlenen sesin sonucunu ölçerek bu farklılıkları cihaz parmak izinin bir parçası hâline getirebilir.

İncelemede söz konusu betikler kötüye kullanım ve dolandırıcılık önleme kodu olarak nitelendirildi. Ses ölçümünün; canvas ve WebGL çıktıları, ekran bilgileri, tarayıcı özellikleri ve donanımla ilgili sinyaller gibi başka verilerle birleştirilebildiği bildirildi. Böyle bir birleşim, daha önce tanınan bir tarayıcıyı veya cihazı yeniden ayırt etmeyi kolaylaştırabilir. Ancak yalnızca istemci tarafındaki kanıtlar, bu sonuçların sunucuda nasıl saklandığını, bir kimlikle eşleştirilip eşleştirilmediğini, ne kadar süre tutulduğunu veya kimlerle paylaşıldığını göstermiyor.

Buradaki kritik ayrım şu:

• Sıfır ses seviyesi, kullanıcının sinyali duymaması demektir.
• Ses işleme yapılmaması, grafiğin hiç çalıştırılmaması veya bağlantısının kesilmesi demektir.
• Takip yapılmaması ise işlenen sonucun toplanmaması ya da tanıma amacıyla kullanılmaması anlamına gelir.

Bunlar aynı şey değildir. Sessiz bir ses grafiği hesaplama yapabilir ve uygulamaya bağlı olarak ölçülebilir bir işleme sonucu üretebilir.

Tarayıcıyı sessize almak neden yeterli olmayabilir?

Sekme veya site sessize alma kontrolleri genellikle yalnızca duyulabilir çıkışı hedefler. Sayfanın JavaScript kodunu durdurmaları, her AudioContext nesnesini askıya almaları, ses düğümlerinin bağlantısını kesmeleri veya işletim sistemindeki ses oturumunu serbest bırakmaları şart değildir.

Bu nedenle AliExpress sekmesini sessize almak, bildirilen sorunu çözmeyebilir. Burada gizli bir şarkı, video veya ses kaydı oynatıldığına dair bir kanıt yok; sorun, kazancı sıfıra indirilmiş olsa bile ses çıkışına bağlı kalmaya devam eden etkin bir Web Audio grafiğinin yan etkisi olarak anlatılıyor.

Tarayıcılar, sessiz fakat ses çıkışına bağlı grafiklere daha katı sınırlamalar getirebilir. Ancak bu, geleneksel sessize alma düğmesinin varsayılan işleyişinden farklı bir tarayıcı tercihi olur.

Avrupa Birliği’ndeki gizlilik ve hukuk boyutu

AB eGizlilik Direktifi’nin 5(3) maddesi, belirli istisnalar saklı kalmak üzere kullanıcının terminal cihazında bilgi depolanmasını veya cihazda zaten bulunan bilgilere erişilmesini düzenler. Avrupa Veri Koruma Kurulu’nun (EDPB) teknik rehberinde, yeni takip yöntemleri üç temel soruyla değerlendiriliyor: Ortada bilgi var mı, işlem terminal cihazı içeriyor mu ve bir kuruluş depolama veya erişim işlemi gerçekleştiriyor mu? 17

Bu çerçeve, cihaz parmak izini ciddi bir gizlilik meselesi hâline getiriyor. Ancak 5(3) maddesinin bu özel ses tekniğine uygulanıp uygulanmayacağı; betiklerin tam olarak neye eriştiği, hangi bilginin üretildiği ve işlemin nasıl kullanıldığına dair ayrıntılı bir inceleme gerektirir. EDPB rehberi AliExpress’in betikleri hakkında verilmiş bir karar değil. Mevcut kaynaklar da betiklerin AB hukukunu ihlal ettiğini ortaya koymuyor.

Ortaya çıkan parmak izi bir kişiyi veya cihazı tek başına ayırt edebiliyorsa; şeffaflık, hukuki dayanak, amaçla sınırlılık, veri minimizasyonu, saklama süresi ve güvenlik gibi ek veri koruma yükümlülükleri de gündeme gelebilir. Bir mekanizmanın “dolandırıcılık önleme” amacı taşıması, eGizlilik istisnasının otomatik olarak uygulanacağı anlamına gelmez; gereklilik ve ilgili ülkenin ulusal düzenlemeleri ayrıca değerlendirilmelidir.

Kullanıcılar bu işlemleri nasıl azaltabilir?

Brave

Brave, canvas ve Web Audio API’leri de dâhil olmak üzere tarayıcının sunduğu parmak izi sinyallerini azaltan veya rastgeleleştiren savunmalar geliştirdiğini açıklıyor. 15 Bu tür korumalar, ses parmak izlerinin güvenilirliğini azaltabilir. Ancak her özel amaçlı dolandırıcılık önleme betiğinin engelleneceği ya da hiçbir ses grafiğinin oluşturulmayacağı garantisini vermez.

Bazı haberlerde Brave’e, tespit edilen AliExpress betiklerinin kendi korumaları tarafından engellendiğine dair bir açıklama atfedildi. Fakat mevcut materyalde bu özel iddiayı doğrulayan birincil nitelikte Brave paylaşımı bulunmuyor.

Firefox

Mevcut kanıtlar, Firefox’un varsayılan korumalarının bu belirli birinci taraf betiklerini engelleyip engellemediğini göstermiyor. Daha güçlü parmak izi önleme ayarları, cihaz düzeyindeki sinyallerin işe yararlılığını azaltabilir. Yine de genel gizlilik ayarlarının her özel amaçlı dolandırıcılık önleme betiğinin yüklenmesini engelleyeceği varsayılmamalı.

uBlock Origin

Ağ düzeyinde engelleme daha doğrudan bir yöntemdir: collina.js ve fireyejs.js yüklenmezse bu betikler bildirilen ses bağlamlarını oluşturamaz. Topluluk tarafından yayımlanan bir filtre, ilgili AliExpress AWSC yollarını şu kurallarla eşleştiriyor:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

AliExpress alan adlarını, yollarını veya dosya adlarını değiştirirse bu kurallar çalışmaz hâle gelebilir. Yeni engelleme kuralının etkili olması için açık AliExpress sekmelerini kapatıp yeniden açmak da gerekebilir. Topluluk filtrelerini kalıcı çözümler olarak görmek yerine, güncel kaynak yollarıyla karşılaştırarak kontrol etmek gerekir.

Gizlilik ile dolandırıcılık önleme arasındaki denge

Betiğin Alibaba’nın kötüye kullanım ve dolandırıcılık önleme altyapısının bir parçası olduğu bildirildiği için bunları engellemek sitenin işleyişini etkileyebilir. Ek doğrulamalar, giriş veya ödeme sorunları ya da başka uyumluluk problemleri yaşanabilir. Ancak mevcut kanıtlar, normal gezinti veya alışverişin her durumda başarısız olacağını göstermiyor.

Etkisini denemek için ayrı bir tarayıcı profili kullanmak pratik bir seçenek. Betikleri engellemek gerekli bir özelliği bozarsa kullanıcılar, bu işlevin siteye izin vermeye değer olup olmadığına karar verebilir.

En temkinli sonuç şu: Bir inceleme, AliExpress’le ilişkilendirilen iki betiğin olası parmak izi amacıyla sessiz Web Audio işlemleri yürüttüğünü ve bunun Bluetooth ses yönlendirmesinde yan etki oluşturabildiğini bildirdi. Ancak bu çalışma, ilk açıklamayı Brave’in yaptığını kanıtlamıyor; Alibaba’nın verileri sunucu tarafında nasıl kullandığını veya sakladığını göstermiyor ve uygulamanın hukuka aykırı olduğuna dair bir düzenleyici karar niteliği taşımıyor.