Πώς το AliExpress πιάστηκε να χρησιμοποιεί ηχητικό fingerprinting

Μια τεχνική που βασίζεται σε αληθινά ακούσιμους ήχι —ή μάλλον στην απουσία τους— αποκάλυψε ότι το AliExpress συνέχιζε να εφαρμόζει παλιές μεθόδους fingerprinting στο περιβάλλον του browser. Το περιστατικό φέρνει ξανά στο προσκήνιο την ατέρμονη αντιπαλότητα ανάμεσα σε browsers που προσπαθούν να μειώσουν το αποτύπωμα των χρηστών και σε εταιρείες που αναζητούν κάθε πιθανό σήμα για αναγνώριση και παρακολούθηση.

Το ενδιαφέρον στην υπόθεση δεν είναι μόνο ότι εντοπίστηκε ένα ξεπερασμένο τεχνικό ίχνος, αλλά και ότι η μέθοδος αυτή —το λεγόμενο audio fingerprinting μέσω των μαθηματικών βιβλιοθηκών— ανέδειξε πόσο λεπτές και απροσδόκητες μπορούν να είναι οι πηγές μοναδικότητας ενός συστήματος. Ταυτόχρονα, υπογραμμίζει πόσο εύκολα μπορούν να παρακάμψουν ή να εκμεταλλευτούν παλιές υλοποιήσεις στον παγκόσμιο ιστό.

Σε αυτό το κείμενο θα εξηγήσουμε τι ακριβώς συνέβη, γιατί οι σύγχρονοι browsers έχουν μειώσει αυτή την απειλή, ποια άλλα σήματα χρησιμοποιούσε το AliExpress και ποια είναι τα πρακτικά συμπεράσματα για χρήστες, προγραμματιστές και ρυθμιστικές αρχές.

Τι είναι το ηχητικό fingerprinting και πώς λειτουργεί

Το ηχητικό fingerprinting αξιοποιεί τις δυνατότητες του Web Audio API για να παράξει και να αναλύσει σύντομους, συνήθως μη ακουστούς, ήχους. Η ιδέα είναι απλή: διαφορετικά λογισμικά και υλικό επεξεργάζονται τις αριθμητικές πράξεις και τη συμπεριφορά μετατροπής σήματος με μικρές, αλλά επαναλαμβανόμενες αποκλίσεις. Αυτές οι αποκλίσεις —προκύπτουν από διαφορές στη διαχείριση floating-point, στο sampling rate, στην υλοποίηση φίλτρων και στην απόδοση του CPU— μπορούν να μετατραπούν σε ψηφιακά “αποτυπώματα”.

Στην πρακτική, ένας ιστότοπος δημιουργεί έναν oscillator (ηχητικό γεννήτορα) και στέλνει το σήμα μέσα σε έναν analyser ή offline audio context. Στη συνέχεια μετράει παραμέτρους όπως φάσμα, peak values ή άλλες ιδιότητες που εξαρτώνται από τις εσωτερικές μαθηματικές βιβλιοθήκες και το hardware. Συνδυάζοντας αυτά τα δεδομένα με άλλα σήματα, το αποτέλεσμα είναι μια εξατομικευμένη υπογραφή που μπορεί να χρησιμοποιηθεί για αναγνώριση χρήστη και cross-site tracking.

Παρά το γεγονός ότι ο ήχος είναι τεχνικά “ακίνδυνος” για τον χρήστη (συνήθως inaudible), το πρόβλημα δεν είναι το ίδιο το audio stream αλλά οι αριθμητικές διαφορές που αποκαλύπτει όσον αφορά στο σύστημα. Αυτές οι διαφορές ήταν, κάποτε, αρκετά μεγάλες ώστε να προσφέρουν υψηλό entropy και να δημιουργούν τεράστιους χώρους μοναδικών υπογραφών όταν συνδυάζονταν με CPU, OS και άλλες παραμέτρους.

Γιατί οι μεγάλοι browsers έλυσαν το πρόβλημα

Η απάντηση των browser vendors ήρθε καθώς έγινε σαφές ότι οι φυσικές διαφορές στις βιβλιοθήκες μαθηματικών μπορούσαν να χρησιμοποιηθούν ως σταθερά “σημεία” αναγνώρισης. Το Firefox υιοθέτησε από την έκδοση v118 (2023) τη στρατηγική της χρήσης δικών του, σταθερών μαθηματικών βιβλιοθηκών αντί να βασίζεται σε αυτές του λειτουργικού συστήματος. Σύμφωνα με προγραμματιστές όπως ο Tom Ritter, η μείωση της ποικιλίας στο μαθηματικό υπόβαθρο κατέβασε το entropy τόσο που η τεχνική σταμάτησε να είναι χρήσιμη.

Με παρόμοιο τρόπο, ένα μέλος του οικοσυστήματος του Google ανέφερε ότι το Chrome είναι επίσης ασφαλές από αυτή την προσέγγιση επειδή και αυτό παρέχει τις δικές του βιβλιοθήκες. Οι χρήστες του Safari πιθανότατα είναι επίσης προστατευμένοι για τον ίδιο λόγο, αν και η Apple δεν έκανε άμεση ανακοίνωση.

Η ουσία είναι πως όταν όλοι οι browser υιοθετούν κοινή, ελεγχόμενη συμπεριφορά σε ευαίσθητα APIs, η δυνατότητα χρήσης τους για μοναδική αναγνώριση μειώνεται δραστικά. Πρόκειται για μια από τις προτιμητέες τεχνικές άμβλυνσης fingerprinting: τυποποίηση της συμπεριφοράς και απομείωση των διαφορών που προσφέρουν entropy.

Τι ακριβώς έκανε το AliExpress και γιατί μοιάζει παρωχημένο

Το ενδιαφέρον στην περίπτωση του AliExpress είναι ότι το κατάστημα φαίνεται να συνέχιζε να συλλέγει το ηχητικό σήμα παρότι οι σύγχρονοι browsers το έχουν ουσιαστικά ουδετεροποιήσει. Η πιο λογική εξήγηση είναι ότι πρόκειται για κληρονομημένο κομμάτι κώδικα μέσα στο ευρύτερο σύστημα fingerprinting της πλατφόρμας — ένα εργαλείο που κάποτε λειτουργούσε καλά και απλώς ξεχάστηκε.

Το AliExpress δεν περιορίζεται σε αυτό το ένα τρικ: οι έρευνες εντόπισαν περισσότερες από δώδεκα τεχνικές fingerprinting που η εταιρεία χρησιμοποίησε ταυτόχρονα. Ανάμεσά τους ήταν μέθοδοι όπως canvas rendering, WebGL πληροφορίες, ανάλυση audio oscillator και analyzer, μέτρηση διαστάσεων οθόνης και viewport, device pixel ratio, hardwareConcurrency, deviceMemory, αναγνωρίσιμες συμπεριφορές WebRTC, και συμβάντα χρήστη όπως mouse, touch και scroll.

Ο συνδυασμός πολλαπλών μεθόδων σε ένα σύστημα αυξάνει την πιθανότητα επιτυχούς αναγνώρισης. Ακόμη κι αν το audio signal πλέον δεν παρέχει μεγάλο entropy, ο συνδυασμός με άλλα, ενεργά σήματα μπορεί να αποδώσει ένα αρκετά σταθερό “fingerprint”. Αυτό εξηγεί γιατί ιστοσελίδες συνεχίζουν να τρέχουν πολυσύνθετα συλλεκτικά scripts: θέλουν ανθεκτικότητα απέναντι σε κάθε μεμονωμένη αποτυχία μιας τεχνικής.

Πόσο επικίνδυνο είναι το fingerprinting στην πράξη

Το fingerprinting δεν χρειάζεται cookies για να είναι αποτελεσματικό, οπότε αποφεύγει πολλές παραδοσιακές προστασίες απορρήτου. Είναι συνήθως πιο επίμονο από ένα απλό cookie γιατί συνδέεται με χαρακτηριστικά του συστήματος και μπορεί να επανεμφανιστεί ακόμη και μετά από διαγραφή cookies. Σε επίπεδο διαφήμισης και αναλυτικής πληροφορίας, προσφέρει στα δίκτυα διαφήμισης και στους εμπόρους έναν πιο σταθερό τρόπο αναγνώρισης και επαναστόχευσης.

Υπάρχει επίσης νομική πλευρά: υπό το πλαίσιο γενικών κανόνων προστασίας δεδομένων όπως ο GDPR, τα fingerprinting δεδομένα ενδέχεται να θεωρηθούν προσωπικά δεδομένα όταν συνδέονται σε ταυτότητα χρήστη ή όταν έχουν την ικανότητα να αναγνωρίζουν μεμονωμένα άτομα. Ωστόσο η πρακτική επιβολής είναι δύσκολη, ειδικά όταν οι εταιρείες επικαλούνται τεχνικά επιχειρήματα ή ισχυρίζονται επεξεργασία για “λειτουργικούς” σκοπούς.

Τέλος, το πρόβλημα είναι ευρέως διαδεδομένο: χιλιάδες ιστοσελίδες και ad-tech providers χρησιμοποιούν παρόμοια εργαλεία. Η αντίδραση των browser vendors και οργανώσεων όπως το EFF και τα εργαλεία Panopticlick / AmIUnique έχει αυξήσει την ευαισθητοποίηση, αλλά η βελτίωση είναι σταδιακή και συνοδεύεται από νέες παραλλαγές των αποκαλούμενων “evergreen” τεχνικών fingerprinting.

Τι μπορούν να κάνουν οι χρήστες και οι προγραμματιστές

Για τον συνηθισμένο χρήστη, οι πιο σημαντικές πρακτικές είναι απλές: κρατήστε τον browser σας ενημερωμένο, χρησιμοποιήστε τις ενσωματωμένες ρυθμίσεις προστασίας απορρήτου (π.χ. enhanced tracking protection στο Firefox), και προτιμήστε browsers που προσφέρουν ισχυρές αντι-αποτύπωσης ρυθμίσεις. Εργαλεία όπως uBlock Origin ή Privacy Badger μπορούν να μπλοκάρουν πολλά scripts fingerprinting χωρίς να απαιτούν τεχνικές γνώσεις.

Για όσους επιδιώκουν μέγιστη ανωνυμία, το Tor Browser παραμένει το πιο άμεσα προστατευτικό εργαλείο, επειδή έχει σχεδιαστεί να ισοπεδώνει πολλές πηγές διαφοροποίησης και να περιορίζει τα APIs που εκθέτουν system-level πληροφορίες. Ωστόσο συνοδεύεται από μειώσεις στην ταχύτητα και σε κάποιες λειτουργικότητες web.

Οι προγραμματιστές εφαρμόζοντας σχεδιασμό privacy-by-default μπορούν να μειώσουν το ρίσκο: περιορισμός της συλλογής telemetry, αποφυγή μη αναγκαίων API calls, και παροχή σαφών επιλογών opt-in για χρήστες. Οι πλατφόρμες αναλυτικών δεδομένων και οι e-commerce providers πρέπει να σταθμίσουν το επιχειρηματικό όφελος έναντι του νομικού και reputational ρίσκου της συστηματικής αναγνώρισης χρηστών χωρίς ρητή συγκατάθεση.

Τι σημαίνει για τους χρήστες

Το ευχάριστο είναι πως οι browser vendors έχουν κάνει βήματα που ουσιαστικά καθιστούν άχρηστο το συγκεκριμένο ηχητικό κόλπο. Ταυτόχρονα, το γεγονός ότι το AliExpress το χρησιμοποιούσε αποκαλύπτει την έκταση του προβλήματος: πολλές εταιρείες διατηρούν μεγάλα «οπλοστάσια» τεχνικών fingerprinting και δεν αφαιρούν αυτόματα τα παλιά εργαλεία. Για τον χρήστη αυτό σημαίνει δύο πράγματα. Πρώτον, η ενημέρωση του browser και η χρήση των ενσωματωμένων ρυθμίσεων απορρήτου κάνουν πραγματική διαφορά. Δεύτερον, δεν αρκεί να μπλοκάρεις ένα σήμα —πολύ συχνά χρειάζεται ένας συνδυασμός εργαλείων και συνειδητών επιλογών συμπεριφοράς για να μειώσεις σημαντικά το αποτύπωμα σου.

Σε ευρύτερο επίπεδο, η ιστορία δείχνει πως η μάχη για το απόρρητο είναι διαρκής: όταν οι browser μειώνουν ένα κανάλι αναγνώρισης, δημιουργούνται νέα ή προσαρμόζονται παλαιά. Μέχρι να υπάρξει πιο αποφασιστική ρυθμιστική παρέμβαση ή καθολική αλλαγή στα web standards, η βέλτιστη στρατηγική για τους χρήστες είναι προληπτική —ενημέρωση, περιορισμός δεδομένων και χρήση αξιόπιστων εργαλείων απορρήτου— ενώ για τις επιχειρήσεις, μεγαλύτερη διαφάνεια και συμμόρφωση με νόμους προστασίας προσωπικών δεδομένων.