Bruger skjulte lydsignaler til at spore besøgende

AliExpress forsøger tilsyneladende at lære langt mere om sine besøgende, end de fleste nok er klar over. Sikkerhedsforskeren Matthew Callaghan har opdaget, at den kinesiske shoppingtjeneste kører skjulte scripts i browseren, som indsamler en lang række oplysninger, der tilsammen kan bruges til såkaldt browser-fingerprinting.

Her forsøger et website at genkende en bestemt computer eller browser ud fra dens tekniske egenskaber – også uden nødvendigvis at være afhængig af traditionelle cookies.

Hovedtelefoner afslørede sporingen

Callaghan faldt over teknikken ved et tilfælde. Hver gang han åbnede AliExpress på sin computer, stoppede lyden fra hans telefon i hans Bluetooth-hovedtelefoner. Lukkede han fanen igen, kom lyden tilbage. Årsagen viste sig at være et skjult WebAudio-script.

AliExpress genererede en lydbølge, som brugeren ikke kunne høre, og analyserede derefter, hvordan browseren behandlede den. Små forskelle i behandlingen kan bruges som endnu en brik i et digitalt fingeraftryk. Det fortæller ArsTechnica.

Det mest opsigtsvækkende er dog ikke nødvendigvis selve lydmetoden. Den er gammel, og moderne udgaver af blandt andet Firefox og Chrome har gjort den langt mindre effektiv.

Langt mere end lyd

Undersøgelsen viser nemlig, at AliExpress samtidig indsamler en lang række andre signaler fra browseren. Det gælder blandt andet skærmopløsning, grafiksystem, browserplugins, hukommelse, processorkerner, understøttede videoformater, WebRTC-oplysninger og brugerens muse-, touch- og scrollbevægelser.

Derfor er det svært at sige, hvor effektiv AliExpress’ samlede fingerprinting stadig er.

Men sagen er endnu et eksempel på, hvor omfattende sporing på nettet kan være. Cookies er langt fra den eneste måde, virksomheder kan forsøge at genkende dig på – og denne gang blev teknikken kun afsløret, fordi den kom til at genere et par hovedtelefoner.