E-kaubandusplatvorm AliExpress on pärast seda, kui arendaja avastas ebatavalise jälgimistehnika, sattunud skandaali keskmesse. Uuringu kohaselt genereerib veebisait külastajate seadmete tuvastamiseks brauserist kuuldamatuid helisignaale – meetod, mis on digitaalse privaatsuse ekspertide seas muret tekitanud. See leid, millest on juba teatanud mitmed spetsialiseeritud meediaväljaanded, rõhutab, kuidas suured platvormid otsivad uusi viise kasutajate jälgimiseks lisaks traditsioonilistele küpsistele.
Kõik sai alguse sellest, kui arendaja Matt Callaghan märkas, et tema Bluetooth-kõrvaklapid lõpetasid telefonist muusika esitamise iga kord, kui tal oli arvutis AliExpressi vahekaart avatud. Lehe sulgemine lahendas probleemi kohe. Uudishimulikult otsustas Callaghan veebisaidi koodi analüüsida ja avastas, et platvorm hoidis helitöötlussüsteemi taustal töös isegi siis, kui meediat ei mängitud. Ta dokumenteeris oma leiud oma isiklikus blogis ja neist sai kiiresti tehnoloogiakogukonnas aruteluteema.
Nii töötab AliExpressi kasutatav helisõrmejälg
AliExpressi kasutatav tehnika põhineb brauseri veebiaudio tehnoloogial. Selle eest vastutavad skriptid, mida nimetatakse collina.js ja fireyejs.js, loovad ostsillaatori, mis genereerib saehambakujulise helilaine. See signaal saadetakse enne nullhelitasemele seatud GainNode'i jõudmist läbi AnalyserNode'i ja ScriptProcessorNode'i. Sel viisil on heli kasutajale täiesti kuuldamatu, kuid brauser töötleb seda aktiivselt kogu aeg.
Selle protsessi eesmärk on mõõta signaalitöötluse peeneid erinevusi, mis esinevad seadmest olenevalt. Iga arvuti, operatsioonisüsteem, brauser või helikogu töötleb lainekuju veidi erinevalt ja need erinevused muutuvad omamoodi unikaalseks sõrmejäljeks. See tehnika, mida tuntakse sõrmejälje võtmisena, võimaldab seadet tuvastada ilma küpsisteta, mistõttu on kasutajal raske vältida tuvastamist sirvimisajaloo või tavapäraste jälgimisfailide kustutamise teel.
Heli pole ainus element, mida selle identifitseerimise loomiseks kasutatakse. Analüüsitud skriptid koguvad teavet ka riistvara omaduste, WebGL-graafika, ekraani eraldusvõime, saadaoleva muutmälu, installitud pistikprogrammide ja isegi hiire ja kerimisratta kasutamise kohta. Kõik need andmed kombineeritakse ja saadetakse krüpteeritult AliExpressi emaettevõtte Alibaba telemeetriaserveritesse.
Läbipaistmatuse puudumine, peamine probleem
Selle leiu kõige murettekitavam aspekt pole niivõrd tehnika ise, kuivõrd AliExpressi läbipaistmatus. Kasutajad ei saa veebis sirvides mingit konkreetset teavitust selle kohta, et nende seadmest genereeritakse digitaalne sõrmejälg. Ei platvorm ega selle emaettevõte Alibaba ole avaldanud ametlikku avaldust selle tehnoloogia kasutamise kohta, mis on privaatsuse kaitsjate kriitikat pälvinud.
Sellisel sõrmejälgede võtmisel võib olla õiguspäraseid rakendusi, näiteks pettuste avastamine, võltskontode ennetamine või sooduskupongide väärkasutuse kontrollimine. Asjaolu, et seda tehakse vaikselt ja ilma selgesõnalise nõusolekuta, tekitab aga tõsiseid kahtlusi andmekaitse-eeskirjade järgimise osas, eriti Euroopa kontekstis, kus isikuandmete kaitse üldmäärus (GDPR) nõuab isikuandmete töötlemisel läbipaistvust.
Uurimine näitas ka, et see käitumine polnud täiesti uus. Mozilla intsidentide haldamise süsteemis Bugzilla oli avatud päringu abil juba umbes kaks aastat dokumenteeritud, et AliExpress hoidis heliseadet aktiivsena ja takistas Windowsi automaatset peatamist. See viitab sellele, et see tava võis olla kehtinud kauem kui algselt arvati.
Brave ja Firefox on end selle jälgimise eest juba kaitsnud.
Sellele olukorrale reageerides on mõned brauserid juba samme astunud. Brave teatas, et nende brauser blokeerib spetsiaalselt tuvastatud AliExpressi skripte ja lisab heliväljundisse juhuslikke andmeid jälgimise takistamiseks – meede, mida nad on vaikimisi rakendanud juba üle kuue aasta. Firefox on omalt poolt selle tehnika alates 2023. aasta septembris avaldatud versioonist 118 neutraliseerinud tänu oma matemaatilistele helitöötlusteekidele, mis vähendavad seadmest ekstraheeritava kasuliku teabe hulka peaaegu nullini.
Kasutajatele, kes soovivad oma privaatsust tugevdada, on ka võimalus kasutada laiendusi nagu uBlock Origin, lisades kohandatud filtrireegleid collina.js ja fireyejs.js teedele domeeni assets.aliexpress-media.com all. Eksperdid hoiatavad aga, et kõigi veebis kasutatavate tuvastamismeetodite blokeerimiseks pole täiesti lihtsat viisi, kuna need tehnikad tuginevad seadme arvukate väikeste tehniliste üksikasjade kombineerimisele.
AliExpressi juhtum tuletab meelde, et veebipõhine jälgimine on küpsistest palju kaugemale arenenud. Ettevõtted otsivad pidevalt uusi viise kasutajate tuvastamiseks ja paljud tegutsevad juriidiliselt hallis tsoonis. Kuna Euroopa ametivõimud tugevdavad andmete kogumise tavade järelevalvet, peaksid tarbijad olema teadlikud, et nende digitaalne jalajälg ulatub palju kaugemale sellest, mida nad veebis trükivad või ostavad.
Poleemika on puhkemas ja AliExpress pole seni mingit selgitust pakkunud. Selge on see, et privaatsus internetis on endiselt lahinguväli, kus kasutajatel on üha vähem kontrolli oma teabe üle. Samal ajal on ekspertide soovitus selge: hoidke brausereid ajakohasena, kasutage jälgimise blokeerimise tööriistu ja pidage meeles, et internetis pole miski tasuta ega nähtamatu.
