Keď si človek otvorí AliExpress, očakáva lacné produkty, reklamy a možno nekonečné odporúčania ďalšieho tovaru. Málokto však čaká, že jeho počítač začne na pozadí spracúvať zvuk, ktorý vôbec nepočuje. Presne takúto zvláštnosť odhalil softvérový vývojár Matt Callaghan.
Nie je to pritom dôkaz, že by e-shop zapínal mikrofón alebo počúval rozhovory v miestnosti. Ide o takzvaný fingerprinting, pri ktorom web skladá technické vlastnosti prehliadača a zariadenia do rozpoznateľného digitálneho odtlačku.
Celé to prezradili Bluetooth slúchadlá
Callaghan používal slúchadlá s funkciou multipoint, ktoré boli súčasne pripojené k telefónu aj počítaču. Hudba z telefónu mu po otvorení stránky AliExpressu prestala hrať, akoby počítač začal prehrávať vlastný zvuk. Zatvorenie karty problém okamžite vyriešilo, no stlmenie karty, prehliadača ani systému Windows nepomohlo.
Vývojár následne našiel dva silne zamaskované skripty spojené s bezpečnostnými a anti-abuse nástrojmi spoločnosti Alibaba. Ako podrobne opisuje Ars Technica, skripty pomocou Web Audio API vytvorili známu zvukovú vlnu, nechali ju spracovať prehliadačom a analyzovali výsledné frekvenčné údaje.
Hlasitosť bola nastavená na nulu, takže návštevník nič nepočul. Zvukový proces však zostal pripojený k systémovému výstupu, čo v Callaghanovom prípade narušilo prepínanie slúchadiel medzi zariadeniami. Práve tento vedľajší efekt zviditeľnil činnosť, ktorú by si bežný návštevník inak nevšimol.
Samotný zvuk na presné sledovanie nestačí
Rozdiely v tom, ako kombinácia prehliadača, procesora a matematických knižníc spracuje rovnakú vlnu, môžu poslúžiť ako jeden znak zariadenia. Netreba však podľahnúť predstave, že každý počítač má na základe zvuku úplne jedinečný podpis.
Moderné prehliadače túto techniku značne oslabili. Firefox od verzie 118 používa konzistentnejšie matematické knižnice a podľa vývojára Toma Rittera patrí 99,2 % používateľov Firefoxu iba do troch zvukových skupín. Google uviedol, že samostatná metóda je neúčinná aj v Chrome. Hodnotu získava až v kombinácii s ďalšími údajmi.
Skripty podľa technickej analýzy zisťovali aj rozmery obrazovky, vlastnosti grafiky cez WebGL, pamäť zariadenia, počet procesorových jadier, doplnky prehliadača, pohyby myši, dotyky či znaky automatizovaného prehliadača. Výsledkom tak mohol byť podstatne presnejší profil než pri použití zvuku osamote.
Prečo je digitálny odtlačok citlivejší než cookie?
Cookie je malý údaj uložený v zariadení a používateľ ho môže vymazať alebo zablokovať. Fingerprint sa zostavuje nanovo z vlastností zariadenia. Preto môže zostať podobný aj po vymazaní histórie, zmene IP adresy alebo zapnutí anonymného režimu.
To automaticky neznamená, že AliExpress pozná meno každého anonymného návštevníka. Odtlačok však môže pomôcť rozpoznať, že sa rovnaké zariadenie vrátilo, alebo spojiť viac návštev. Firmy ho používajú aj na odhaľovanie botov, krádeží účtov, podvodných platieb, zneužívania kupónov či manipulácie s recenziami. Rovnaká technika sa však dá využiť na sledovanie a bez transparentnosti používateľ nevie, na aký účel údaje skutočne slúžia.
Najhoršie na tom je, že AliExpress pri súhlase s cookies fingerprinting jasne nevysvetľuje a podľa všetkého by to mal robiť. Európsky výbor pre ochranu údajov vo svojich usmerneniach k ePrivacy uvádza, že pravidlá sa neobmedzujú iba na cookies a do technického rozsahu článku 5 ods. 3 patrí aj získavanie digitálnych odtlačkov. Súhlas má výnimky pri úkonoch striktne nevyhnutných na poskytnutie služby, preto by konkrétne právne posúdenie záviselo od účelu a spôsobu nasadenia.
Ako môžete sledovanie obmedziť?
Najjednoduchším krokom je používať aktuálny prehliadač so zapnutou ochranou proti sledovaniu. Pomôcť môže blokovanie skriptov a fingerprintingu v prehliadačoch orientovaných na súkromie, hoci prísnejšie nastavenia môžu poškodiť niektoré funkcie webu. Samotné vymazanie cookies alebo otvorenie inkognito okna nemusí tento typ identifikácie zastaviť.
Používatelia zariadení Apple môžu využiť pokročilú ochranu Safari proti sledovaniu a fingerprintingu. Tejto funkcii sme sa venovali v tomto článku. Ani jeden nástroj však neposkytuje absolútnu anonymitu. V súčasne dobe by to zrejme ani nebolo možné.
Za nás nie je najväčším problémom samotná existencia nástroja proti podvodom, ale jeho netransparentnosť. Používateľ by mal jasne vedieť, aké znaky jeho zariadenia web zbiera, na čo ich používa a ako dlho ich uchováva. Tichý zvuk pôsobí dramaticky, no skutočné riziko predstavuje až celý balík údajov poskladaný do jedného profilu.
Do komentára na sociálnych sieťach Facebook / Instagram nám napíšte, či po tomto zistení zmeníte spôsob, akým nakupujete na AliExpress. Tešíme sa na vaše postrehy a názory.
Ak hľadáte overený iPhone so zárukou, ktorý prešiel rukami odborníkov zo SvetApple.sk, určite sa pozrite do nášho e-shopu Loopi.sk. Nájdete tu starostlivo skontrolované zariadenia za výrazne nižšie ceny než pri nových modeloch. Ušetriť môžete stovky eur, no stále získate spoľahlivý iPhone, ktorý vám bude bez problémov slúžiť ešte dlhé roky. 📱
