Kiinalaisen Alibaban verkkokauppajätti AliExpress vaikuttaa seuranneen asiakkaita näiden huomaamatta.
Saksalainen it- ja teknologiamedia Heise kertoo, että sivustolla näyttää toimineen taustalla skriptejä, jotka tuottivat ihmiskorvalle kuulumattomia äänisignaaleja. Koska eri laitteet käsittelevät signaaleja hieman eri tavoin, niiden avulla verkkosivuston käyttäjä voidaan tunnistaa uudelleen ilman evästeitä.
Toiminta paljastui sattumalta. Ohjelmistokehittäjänä työskentelevä henkilö huomasi ongelmia monipisteyhteyttä tukevissa Bluetooth-kuulokkeissaan aina, kun AliExpress-sivuston välilehti oli avoinna. TechSpotin mukaan kuulokkeet eivät tällöin vaihtaneet normaalisti tietokoneen ja älypuhelimen välillä. Kun AliExpress-välilehti suljettiin, ongelma katosi.
Lähdekoodia tutkiessaan kehittäjä löysi skriptejä, jotka muodostivat Web Audio API:n avulla äänenkäsittelyketjuja.
Skriptit tuottavat jokaiselle käyttäjälle saman äänisignaalin ja mittaavat tämän jälkeen pieniä eroja siinä, miten eri laitteet käsittelevät sitä. Erot syntyvät muun muassa suorittimen, äänipiirin, ajureiden, käyttöjärjestelmän ja selaimen toteutuksen yhteisvaikutuksesta.
Yksityisyyttä painottavaa Brave-selainta kehittävä yhtiö selventää, että AliExpress ei tallentanut käyttäjien ääntä, vaan toisti äänettömän signaalin ja mittasi, miten kunkin käyttäjän laite käsitteli sitä.
Piiloseuranta herättää arvostelua
Äänimittaus oli vain yksi osa AliExpressin keräämiä tietoja. TechSpotin mukaan verkkosivusto kerää lisäksi tietoja Canvas-renderöinnistä, WebGL:stä, näytön asetuksista, laitteistokokoonpanosta, WebRTC:n toiminnasta sekä käyttäjän vuorovaikutuksesta sivuston kanssa.
Yhdessä näistä tiedoista voidaan muodostaa lähes yksilöllinen laiteprofiili, jonka perusteella käyttäjä voidaan tunnistaa.
Vastaavanlaista tekniikkaa käytetään verkkosivustoilla esimerkiksi petosyritysten tunnistamiseen. Menetelmää arvostellaan kuitenkin voimakkaasti, koska sitä voidaan käyttää ihmisten huomaamattomaan seurantaan.
Koska äänisignaalin voimakkuus asetetaan nollaan, käyttäjä ei kuule signaalia.
Tapaus liittyy laajempaan ilmiöön, jossa teknisesti harmittomilta vaikuttavia taustaprosesseja hyödynnetään seurantaan tai ei-toivottuun tiedonsiirtoon.
EFF:n analyysin mukaan monet älypuhelinsovelluksissa käytettävät mainosohjelmistojen kehityspaketit eli SDK:t välittävät oletusasetuksilla sijaintitietoja mainosverkostoille ilman, että kehittäjät tai käyttäjät välttämättä tietoisesti hallitsevat toimintaa.
Samantyyppinen yllätys havaittiin myös Britannian kuninkaallisessa laivastossa. Kiinalaisia kamerakomponentteja sisältäneiden meridroonien kerrottiin lähettäneen salaa tilatietoja Kiinaan. Tapauksessa pienetkin säännölliset tilaviestit muodostivat mahdollisen turvallisuusriskin.
LUE MYÖS:
Uusi maksu tehosi: Kiina-pakettien määrä romahti lähes 80 prosenttia