Alibaba به ردیابی کاربران با WebAudio Fingerprinting متهم شد

بررسی کدهای مرتبط با سرویس AliExpress نشان می‌دهد Alibaba از تکنیک WebAudio Fingerprinting برای شناسایی و ردیابی کاربران استفاده کرده است؛ روشی که می‌تواند بدون ذخیره کوکی، از تفاوت‌های جزئی در پردازش صوت توسط دستگاه‌ها برای ساخت اثرانگشت دیجیتال استفاده کند.

شرکت Alibaba به‌دلیل استفاده از یک روش کمتر شناخته‌شده برای ردیابی کاربران با نام WebAudio Fingerprinting با انتقاد و بررسی‌های امنیتی مواجه شده است. این تکنیک با اندازه‌گیری تفاوت‌های بسیار جزئی در نحوه پردازش داده‌های صوتی توسط مرورگر و سخت‌افزار، می‌تواند به شناسایی دستگاه کاربران کمک کند.

ماجرا پس از آن مورد توجه قرار گرفت که اجرای کد انگشت‌نگاری مرتبط با AliExpress ظاهراً باعث اختلال غیرمنتظره‌ای در اتصال هدفون بلوتوث یکی از کاربران شد.

پس از انتشار این اتفاق، Tom Ritter، یکی از مهندسان ارشد حوزه حریم خصوصی مرورگر Firefox، کد مربوطه را بررسی و تحلیل خود را منتشر کرد. یافته‌های او نشان می‌دهد مکانیزم‌های ضدانگشت‌نگاری Firefox می‌توانند تا حد زیادی در برابر این روش ردیابی مقاومت کنند.

WebAudio Fingerprinting چیست؟

Browser Fingerprinting یا انگشت‌نگاری مرورگر با ردیابی سنتی مبتنی بر کوکی تفاوت دارد.

در روش‌های مبتنی بر کوکی، معمولاً یک شناسه روی دستگاه کاربر ذخیره می‌شود تا وب‌سایت بتواند او را در مراجعات بعدی شناسایی کند. اما در انگشت‌نگاری دیجیتال، لزوماً نیازی به ذخیره چنین شناسه‌ای نیست.

در این روش، اسکریپت‌های وب اطلاعات مختلفی را که مرورگر و سخت‌افزار دستگاه در اختیار آن‌ها قرار می‌دهند جمع‌آوری کرده و از ترکیب این اطلاعات، یک الگوی نسبتاً منحصربه‌فرد ایجاد می‌کنند.

WebAudio چگونه برای انگشت‌نگاری استفاده می‌شود؟

در WebAudio Fingerprinting، مرورگر از قابلیت‌های پردازش صوت خود برای ایجاد یا پردازش داده‌های صوتی استفاده می‌کند و سپس نتیجه عددی حاصل را بررسی می‌کند.

تفاوت‌های بسیار جزئی در نحوه انجام محاسبات توسط پردازنده‌ها، مرورگرها و معماری‌های سخت‌افزاری مختلف می‌تواند باعث تولید خروجی‌های متفاوت شود.

همین تفاوت‌ها می‌توانند اطلاعاتی درباره دستگاه کاربر در اختیار اسکریپت ردیابی قرار دهند.

در صورت ترکیب WebAudio با سایر مشخصات دستگاه، این اطلاعات می‌توانند برای ایجاد یک اثر انگشت دیجیتال مورد استفاده قرار بگیرند.

چرا ماجرای Alibaba مورد توجه قرار گرفت؟

وجود چنین کدی در سرویس‌های مرتبط با Alibaba به‌دلیل مقیاس فعالیت این شرکت اهمیت ویژه‌ای دارد. Alibaba یکی از بزرگ‌ترین شرکت‌های فناوری جهان است و در حوزه‌هایی مانند تجارت الکترونیک، رایانش ابری، لجستیک و خدمات آنلاین فعالیت می‌کند.

اما بخش غیرمعمول این ماجرا، صرفاً استفاده از WebAudio Fingerprinting نبود.

به نظر می‌رسد اجرای فرآیند انگشت‌نگاری در یک مورد خاص، به‌جای اینکه کاملاً در پس‌زمینه انجام شود، روی سخت‌افزار صوتی کاربر اثر گذاشته و باعث اختلال در اتصال هدفون بلوتوث شده است.

این اتفاق نشان می‌دهد کدهای ردیابی که معمولاً قرار است کاملاً نامرئی و بی‌صدا فعالیت کنند، در صورت اجرا روی طیف گسترده‌ای از دستگاه‌ها و پیکربندی‌های سخت‌افزاری ممکن است رفتارهای غیرمنتظره‌ای ایجاد کنند.

Firefox تا چه اندازه در برابر این روش مقاوم است؟

تحلیل Ritter نشان می‌دهد داده‌ای که Alibaba تلاش می‌کرد از طریق WebAudio به دست آورد، در نسخه‌های جدید Firefox الزاماً ارزش زیادی برای شناسایی کاربران ندارد.

Mozilla از Firefox 118 تغییراتی را در نحوه انجام محاسبات WebAudio اعمال کرد تا خروجی این محاسبات میان کاربران سازگارتر و مشابه‌تر شود.

بر اساس داده‌های تله‌متری مورد اشاره Ritter، بیش از ۹۹ درصد کاربران Firefox اکنون تنها در تعداد محدودی از الگوهای رایج WebAudio قرار می‌گیرند و مانند گذشته خروجی‌های کاملاً متمایز و منحصربه‌فرد تولید نمی‌کنند.

در نتیجه، WebAudio Fingerprinting در نسخه‌های جدید Firefox بسیار کمتر از گذشته می‌تواند یک شناسه منحصربه‌فرد برای هر دستگاه ایجاد کند.

آیا WebAudio Fingerprinting همچنان می‌تواند اطلاعاتی درباره دستگاه بدهد؟

بله. هرچند این روش در Firefox مدرن برای شناسایی یک دستگاه خاص بسیار محدودتر شده، اما برخی تفاوت‌ها همچنان وجود دارند.

این تفاوت‌ها تا حد زیادی با ویژگی‌های کلی پردازنده و معماری سخت‌افزاری مرتبط هستند. برای مثال، دستگاه‌هایی با معماری‌های متفاوت مانند x86 و ARM ممکن است در برخی محاسبات صوتی خروجی‌های کمی متفاوت تولید کنند.

دلیل آن این است که پردازش صوت به محاسبات اعشاری وابسته است و این محاسبات ممکن است روی سخت‌افزارها و مجموعه دستورالعمل‌های مختلف دقیقاً یکسان انجام نشوند.

بنابراین یک اسکریپت ردیابی ممکن است بتواند اطلاعات کلی درباره سخت‌افزار دستگاه به دست آورد، اما این اطلاعات لزوماً به اندازه یک مقدار کاملاً منحصربه‌فرد برای شناسایی یک رایانه مشخص کاربردی نیستند.

کاربران غیرعادی ممکن است همچنان قابل شناسایی‌تر باشند

در بررسی‌های انجام‌شده، تعداد کمی از سیستم‌های Firefox همچنان خروجی‌های غیرمعمولی در WebAudio تولید می‌کردند.

به گفته Ritter، این موارد می‌توانند ناشی از معماری‌های پردازنده کمتر رایج، ویژگی‌های خاص سخت‌افزاری، مشکلات حافظه یا سایر رفتارهای غیرمعمول سیستم باشند.

چنین دستگاه‌هایی ممکن است در مقایسه با اکثریت کاربران، اثر انگشت متمایزتری داشته باشند؛ با این حال، این گروه بخش بسیار کوچکی از کاربران را تشکیل می‌دهد.

WebAudio تنها یکی از ابزارهای ردیابی کاربران است

یکی از نکات مهم این بررسی آن است که کاربران نباید تصور کنند با مسدودکردن کوکی‌ها، تمام روش‌های ردیابی اینترنتی متوقف می‌شوند.

وب‌سایت‌ها می‌توانند اطلاعات مختلفی از دستگاه و مرورگر را در کنار یکدیگر قرار دهند؛ از جمله:

• مشخصات پردازنده و سخت‌افزار گرافیکی
• اندازه و تنظیمات صفحه‌نمایش
• فونت‌های نصب‌شده
• ویژگی‌ها و رفتار مرورگر
• سیستم‌عامل
• قابلیت‌های گرافیکی
• اطلاعات مربوط به WebAudio
• سایر ویژگی‌های قابل دسترسی از طریق مرورگر

ترکیب این داده‌ها می‌تواند یک اثر انگشت دیجیتال بسیار قدرتمندتر از هر سیگنال منفرد ایجاد کند.

به همین دلیل، قابلیت‌های ضدانگشت‌نگاری مرورگرها نقش مهمی در حفاظت از حریم خصوصی کاربران دارند و اتکا به مسدودکردن کوکی‌ها به‌تنهایی کافی نیست.

جمع‌بندی

ماجرای Alibaba بار دیگر توجه‌ها را به یکی از روش‌های کمتر شناخته‌شده Browser Fingerprinting جلب کرده است. WebAudio Fingerprinting با استفاده از تفاوت‌های جزئی در پردازش داده‌های صوتی می‌تواند اطلاعاتی درباره دستگاه کاربر استخراج کند.

با این حال، تغییرات اعمال‌شده در Firefox باعث شده این روش در بسیاری از سیستم‌ها نتواند مانند گذشته یک شناسه کاملاً منحصربه‌فرد ایجاد کند.

با وجود این، WebAudio تنها بخشی از پازل ردیابی آنلاین است. ترکیب اطلاعات مربوط به سخت‌افزار، نرم‌افزار، مرورگر و تنظیمات دستگاه همچنان می‌تواند امکان ساخت یک اثر انگشت دیجیتال نسبتاً قدرتمند را فراهم کند.

بنابراین برای افزایش حریم خصوصی در وب، استفاده از مرورگرهای دارای قابلیت ضدانگشت‌نگاری، محدودکردن اسکریپت‌های غیرضروری و کاهش اطلاعاتی که وب‌سایت‌ها می‌توانند از دستگاه دریافت کنند اهمیت بیشتری از صرفاً مسدودکردن کوکی‌ها دارد.