AliExpress inviava suoni inaudibili ai browser per fingerprinting degli utenti
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
La tecnica è stata scoperta dopo che i suoni hanno interrotto la riproduzione su cuffie Bluetooth di un ricercatore.
Aprendo la homepage di AliExpress, l’audio del telefono di Matthew Callaghan spariva dalle sue cuffie Bluetooth multipoint. Chiudeva la scheda del sito e l’audio tornava. Ogni volta uguale. Da quell’anomalia, il ricercatore ha scoperto che il sito inviava suoni inaudibili al browser per creare un’impronta del visitatore1.
Callaghan racconta di aver inciampato nel tracciamento per caso. Aveva impostato le cuffie perché riproducessero l’audio del telefono, tranne quando il PC emetteva suoni. Caricava AliExpress sul computer e le cuffie smettevano di riprodurre la musica dallo smartphone. Chiudeva la scheda e la musica ripartiva. La ripetizione del comportamento lo ha portato a indagare cosa stesse “suonando” dal browser senza che lui sentisse nulla1.
Analizzando la pagina, ha trovato due script “altamente offuscati”. Insieme, rendevano un grafico che analizzava i valori WebAudio del browser in visita. Quel grafico agiva come un oscillatore che misurava onde a dente di sega (Sawtooth), comuni nell’output dell’audio digitale. “L’oscillatore genera una forma d’onda nota”, ha scritto Callaghan. “L’analizzatore misura il risultato dopo che è passato attraverso l’audio del browser”1.
Secondo Ars Technica, si tratta di una tecnica datata. Gli utenti non la sentono, ma i browser sì. Il sito invia suoni fuori dalla soglia dell’udito umano. Il codice nel browser genera e misura segnali audio per ottenere una metrica che contribuisce al fingerprinting del visitatore1.
Nel caso di Callaghan, quel segnale ha avuto un effetto collaterale chiaro: le cuffie multipoint hanno interrotto l’audio del telefono ogni volta che la pagina era aperta sul PC. La chiusura della scheda faceva tornare udibile il telefono. Il comportamento ripetuto ha funzionato da indicatore pratico di un’attività audio in background che altrimenti sarebbe rimasta invisibile all’utente1.
Gli script non si presentavano per quello che erano. L’offuscamento rendeva difficile capire le funzioni a colpo d’occhio. Callaghan ha ricostruito il percorso: caricamento della homepage, esecuzione del codice, creazione dell’oscillatore, analisi del segnale. Il passaggio cruciale era l’uso di suoni inaudibili: per l’utente, silenzio; per il browser, attività misurabile che alimenta la tecnica di fingerprinting descritta nell’inchiesta1.
Il caso mette in luce un punto: il fingerprinting può sfruttare API legittime del web. Qui l’analisi si appoggia alle letture di WebAudio raccolte nel browser. La conseguenza pratica, documentata dal ricercatore, è stata l’interferenza con l’ascolto su cuffie multipoint. Un problema percepibile, nato da un’operazione che non produceva suoni udibili dalla persona davanti allo schermo1.
La prossima volta che un sito “muto” cambia il comportamento delle cuffie multipoint, vale la pena chiedersi se il browser stia elaborando un segnale che l’orecchio non capta ma il codice sì. È così che Callaghan ha scoperto la pratica su AliExpress: seguendo la traccia lasciata da un silenzio anomalo1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.