AliExpress снимал отпечатки браузеров неслышимым звуком через Web Audio

24 августа Ars Technica написала, что исследователь Мэттью Каллахан нашёл на AliExpress обфусцированные скрипты, которые через Web Audio API генерировали неслышимый пилообразный сигнал. Усиление стояло на нуле. Этого хватило, чтобы снять отпечаток Bluetooth-наушников с телефона.

Что известно

• Мэттью Каллахан нашёл обфусцированные скрипты, которые генерировали неслышимый пилообразный сигнал через Web Audio API.
• Скрипты снимали отпечаток Bluetooth-наушников с телефона; усиление было нулевым.
• Firefox 118 и новее, а также Chrome считают сигнал своей математикой и тем самым снижают энтропию.
• The Register определил collina.js и fireyejs.js как антифрод-инструменты Alibaba.

Takeaways

• Тишина в динамиках не означала, что Audio API простаивает.
• Наушники на телефоне стали ещё одним идентификатором.
• Скрипты совпадают с известным антифрод-стеком Alibaba, а не со случайным сторонним виджетом.

Source: Ars Technica