علیبابا کاربران علیاکسپرس را با صدای نامرئی ردیابی میکرد
یک توسعهدهنده هنگام بررسی مشکل اتصال هدفون بلوتوث خود به شواهدی از یک روش پیشرفته ردیابی در وبسایت علیاکسپرس پی برد. این فروشگاه اینترنتی متعلق به علیبابا با استفاده از صداهای نامرئی و بدون پخش صدای قابل شنیدن برای کاربر، نحوه پردازش سیگنالهای صوتی توسط دستگاه را بررسی میکرد تا یک اثرانگشت دیجیتال از دستگاه ایجاد کند.
آنچه میخوانید:
به گزارش توسعه برند؛ یک توسعهدهنده با نام «لیزرفایل» هنگام استفاده همزمان از هدفون بلوتوث خود با گوشی و رایانه، متوجه رفتار عجیبی شد. او دریافت که وقتی وبسایت علیاکسپرس روی رایانهاش باز است، پخش موسیقی از گوشی از طریق هدفون متوقف میشود؛ اما به محض بستن صفحه علیاکسپرس، مشکل برطرف میشود.
این توسعهدهنده در وبلاگ شخصی خود توضیح داده است که هدفونش از قابلیت اتصال همزمان به چند دستگاه پشتیبانی میکند؛ بنابراین میتواند بهطور همزمان به رایانه و گوشی متصل باشد و برای مثال، موسیقی را از گوشی پخش کند و اعلانها را از رایانه دریافت کند.
او میگوید این اتفاق مدت کوتاهی پس از باز کردن صفحه اصلی علیاکسپرس رخ میداد و حتی بیصدا کردن برگه مرورگر، فایرفاکس یا ویندوز نیز مشکل را برطرف نمیکرد. از طرفی هیچ ویدئو، موسیقی یا محتوای رسانهای قابل مشاهدهای نیز در صفحه در حال پخش نبود.
همین موضوع باعث شد او رفتار وبسایت را بررسی کند و در نهایت به سازوکاری برسد که به گفته خودش، برای ایجاد اثرانگشت دیجیتال از دستگاه کاربران مورد استفاده قرار میگرفت.
علیاکسپرس چگونه از صدای نامرئی برای ردیابی استفاده میکرد؟
اثر انگشت دیجیتال یکی از روشهایی است که وبسایتها برای شناسایی و ردیابی کاربران بدون استفاده از کوکیها به کار میگیرند. در این روش، ویژگیهای مختلف دستگاه و مرورگر کاربر بررسی و در کنار یکدیگر قرار میگیرند تا تصویری تقریباً منحصربهفرد از دستگاه ایجاد شود.
اما آنچه در مورد علیاکسپرس توجه این توسعهدهنده را جلب کرده، استفاده از سامانه صوتی دستگاه برای ایجاد این اثر انگشت دیجیتال بوده است.
او پس از بررسی کدهای پنهان وبسایت دریافت که برخی از اسکریپتهای پسزمینه، مسیر پردازش صوتی رایانه را باز نگه میدارند. علیاکسپرس از رابط برنامهنویسی صوتی وب مرورگر یا WebAudio API برای تولید امواج صوتی نامرئی با شدت صدای صفر استفاده میکرد.
کاربران ضبط نمیشدند؛ علیاکسپرس صدایی نامحسوس تولید میکرد و نحوه پردازش آن توسط دستگاه را اندازه میگرفت تا از دستگاه کاربر یک اثرانگشت دیجیتال بسازد.
نکته اصلی این روش آن است که تفاوتهای بسیار کوچک میان سختافزارهای مختلف، نسخه مرورگرها، سیستمعاملها و کتابخانههای صوتی باعث میشود یک سیگنال یکسان در دستگاههای مختلف، خروجی کاملاً یکسانی نداشته باشد.
علیاکسپرس با اندازهگیری همین تفاوتهای جزئی میتواند یک شناسه نسبتاً منحصربهفرد برای دستگاه ایجاد کند؛ شناسهای که در صورت ترکیب با سایر اطلاعات، قابلیت ردیابی دقیقتری پیدا میکند.
“”توسعه برند را در اینستاگرام و تلگرام و لینکدین دنبال کنید””
فقط صدا نبود؛ اطلاعات بیشتری از دستگاه جمعآوری میشد
بررسی بیشتر کدهای علیاکسپرس نشان داد که این سامانه تنها به اطلاعات صوتی محدود نمیشود. اسکریپتهای مورد اشاره، دادههای دیگری از جمله Canvas، WebGL، مشخصات سختافزاری، WebRTC، ابعاد صفحهنمایش، رویدادهای مربوط به ماوس و لمس و نشانههای مربوط به ابزارهای خودکار را نیز بررسی میکردند.
مجموع این دادهها میتواند یک اثر انگشت گسترده از دستگاه و رفتار کاربر ایجاد کند و اطلاعات جمعآوریشده نیز به سرورهای مربوط به سامانههای سنجش و تحلیل علیبابا ارسال میشود.
اثر انگشت صوتی بهتنهایی شاید برای شناسایی قطعی یک دستگاه کافی نباشد، اما وقتی با اطلاعات Canvas، WebGL، سختافزار، زمانبندی و نحوه تعامل کاربر ترکیب شود، قدرت بسیار بیشتری برای شناسایی و ردیابی پیدا میکند.
به گفته این توسعهدهنده، دلیل اصلی کارآمد بودن اثر انگشت صوتی این است که تفاوتهای کوچک میان مرورگر، سیستمعامل، کتابخانههای صوتی و سختافزار میتوانند باعث ایجاد نتایج متفاوت هنگام پردازش یک سیگنال مشابه شوند.
چرا علیاکسپرس به چنین روشی نیاز دارد؟
علیبابا و علیاکسپرس میتوانند دلایل مختلفی برای استفاده از فناوریهای پیشرفته شناسایی دستگاه داشته باشند. مقابله با حسابهای جعلی، کلاهبرداری و سوءاستفاده از کدهای تخفیف از جمله کاربردهای احتمالی چنین سامانههایی هستند.
از سوی دیگر، دادههای گسترده درباره رفتار کاربران میتواند برای تحلیل رفتار مشتریان و بهبود هدفگیری تبلیغات و پیشنهاد محصولات و خدمات نیز مورد استفاده قرار گیرد.
با این حال، استفاده از روشهایی که در پسزمینه مرورگر اجرا میشوند و کاربر از وجود آنها اطلاع مستقیمی ندارد، پرسشهایی جدی درباره شفافیت جمعآوری دادهها و رضایت کاربران ایجاد میکند.
در این مورد، مشکل اتصال هدفون بلوتوث یک کاربر در نهایت باعث شد بخشی از سازوکارهای پنهان وبسایت علیاکسپرس آشکار شود؛ سازوکاری که نشان میدهد ردیابی آنلاین کاربران دیگر تنها به کوکیها محدود نیست و حتی نحوه پردازش یک صدای نامرئی توسط سختافزار دستگاه نیز میتواند به ابزاری برای شناسایی تبدیل شود.
