עלי אקספרס עוקבת אחרי גולשים באמצעות צליל בלתי-נשמע
נקודות עיקריות.כלכליסט AI
- אתר עלי אקספרס עושה שימוש בטכניקת מעקב חשאית המבוססת על השמעת צליל בתדר בלתי שמיע לצורך יצירת טביעת אצבע דיגיטלית של המשתמש.
- הטכניקה נחשפה על ידי חוקר אבטחה שהבחין בשיבושים באוזניות הבלוטות' שלו בעת גלישה באתר, מה שהוביל לזיהוי שימוש בקוד המנתח את אופן עיבוד הקול בחומרה הייחודית של כל מכשיר.
- מטרת המעקב היא זיהוי ותיוג גולשים ללא צורך בקוקיז, אמצעי שדפדפנים מוכווני פרטיות כמו פיירפוקס וברייב מציינים כי הם חוסמים מזה מספר שנים כדי להגן על פרטיות המשתמשים.
אתר השופינג עלי אקספרס מנגן דרך הדפדפן צליל אודיו בתדר בלתי-שמיע על מנת ליצור טביעת אצבע דיגיטלית של גולשים לצורך זיהויים ומעקב אחריהם – כך נחשף בימים האחרונים, אחרי שהטכניקה של האתר גרמה לבאג באוזניות הבלוטות' של חוקר אבטחה.
לא מדובר בטכניקה חדשה או בלתי מוכרת בתעשייה, ודפדפנים מוכווני פרטיות כבר משלבים מנגנונים שמגינים ממנה זה כמה שנים. אבל האופן שבו עלי אקספרס מיישם אותה נחשב לאגרסיבי יחסית. החשיפה גם מעלה על פני השטח את מגוון האמצעים שבהם אתרים מתייגים ועוקבים אחרי פעילות משתמשים.
הטכניקה נחשפה אחרי שכותב בלוג הסייבר האנונימי laserphile, שמתמקד בניתוח התנהגות דפדפנים ומערכות בהקשרים של פרטיות ואבטחת מידע, הבחין בהתנהגות חשודה של אוזניות הבלוטות' שלו בכל פעם שהוא גולש בדפדפן לעלי אקספרס. "למחשב יש עדיפות בניגון אודיו באוזנייה, והטלפון מנגן אודיו כששום דבר לא מתנגן במחשב", כתב החוקר. "זה עובד בצורה אמינה, עד שאני פותח עמוד של עלי אקספרס בפיירפוקס או בכרום. זמן קצר אחרי עליית עמוד הבית של עלי אקספרס, האודיו מהטלפון שלי מפסיק להתנגן. סגירת הטאב של עלי אקספרס מתקנת את זה מיד. השתקת הטאב לא עוזרת, ואין שום וידאו, מוסיקה או מדיה אחרת שמתנגנת בעמוד".
ניתוח של הקוד של עלי אקספרס חשף שהאתר עושה שימוש ב-WebAudio API, פיצ'ר בדפדפנים שנועד לעיבוד קול, על מנת לייצר צליל מושתק (דומה לפונקציית Mute). הרצת הצליל המושתק אפשרה לאתר לבחון איך מכשיר המשתמש מעבד קול, גם בשעה שהמחשב לא השמיע שום צליל. כל מחשב מעבד קול בצורה שונה, על בסיס משתנים כמו מעבד מרכזי, כרטיס קול ורכיבי חומרה ותוכנה אחרים. הבדלים אלו מייצרים מעין חתימה ייחודית, טביעת אצבע של עיבוד הקול במחשב.
באמצעות זיהוי טביעת האצבע הזו (מה שמכונה פינגרפרינטינג), יכול עלי אקספרס לתייג משתמשים שונים, בלי להידרש לשיטות מסורתיות יותר כמו שימוש בקוקיז, שניתן למחוק ושנחסמות אוטומטית בדפדפנים מודרניים רבים. הטכניקה של עלי אקספרס היא חלק מאמצי פינגרפרינטינג רחבים יותר, שנפוצים באתרים רבים. אלו מנסים ליצור פרופיל מזהה של הגולש על בסיס מאפיינים כמו גודל ורזולוציית המסך, סוג וגודל הפונט, שפת מערכת ההפעלה ואפילו תנועות עכבר.
לפינגרפרינטינג יכולים להיות שימושים לגיטימיים, כמו מניעת הונאות וזיהוי וניטור פעילות בוטים. ואולם, פעמים רבות הן משמשות בעיקר על מנת להרכיב פרופילים מזהים ייחודיים של משתמשים לצורך מעקב אחריהם לאורך זמן, גם במקרים שבהם הם חסמו או מחקו קוקיז או עושים שימוש במצב אינקוגניטו בדפדפן.
לדברי פיירפוקס, הגנות מובנות בדפדפן מונעות שימוש ב- WebAudio לצורך מעקב אחרי משתמשים. "עלי אקספרס ניסתה לנטר משתמשים בחשאי, אבל סוכלה על ידי טכנולוגיית האנטי-פינגרפרינטינג של פיירפוקס", נמסר בחשבון ה-X (לשעבר טוויטר) של הדפדפן.
מהנדס הפרטיות של פיירפוקס, טום ריטר, כתב בבלוג שלו: "פינגרפרינטינג בדפדפנים היא שיטה נפוצה מדי לניטור משתמשים ברשת, אבל בכל הנוגע ל-WebAudio, היא לא מאוד יעילה. פיירפוקס חסמה את וקטור הפינגרפרינטינג הזה לפני שלוש שנים בהשקה הראשונה של יכולות הגנת הפינגרפרינטינג שלנו".
הדפדפן מוכוון הפרטיות ברייב (Brave) אמר שהוא מציע הגנות מובנות נגד טכניקת הפינגרפרינטינג של עלי אקספרס וטכניקות אחרות יותר משש שנים: "ברייב מזריק מידע רנדומלי לפלט של הדפדפן כדי לייצר טביעת אצבע שונה באתרים שונים. טביעות האצבע גם מאופסות בכל ביקור באתר. להגנה נוספת, אנו חוסמים את הקוד שעלי אקספרס השתמש בו לשיטת המעקב המדוברת. זה נעשה כברירת מחדל לכל משתמשי ברייב".
