Chapapote1
Madmaxista
- Desde
- 5 Nov 2016
- Mensajes
- 28.071
- Fruta
- 98.315
AliExpress ha sido descubierta utilizando técnicas defingerprinting (huella digital) que llegan incluso a haceruso del sistema de audio del dispositivo paraobtener información con la que caracterizar a sususuarios. Antes que nada, esto no significa que cuandoabrieras su web o aplicación la tienda estuviera activando elmicrófono ni grabando conversaciones. El mecanismo detectadogenera internamente una señal de audio que nunca llega aescucharse, analiza cómo la procesa el navegador y utilizael resultado como una de las numerosas variables con la que puedeconstruirse una huella digital deldispositivo.
Brave, el conocido navegador ligado a mejorarla privacidad, ha dado promovido la visibilidad del caso asegurandoque este tipo de técnicas permiten identificar y seguir aun usuario incluso sin recurrir a cookies. Esto seconsigue al combinar pequeñas diferencias del hardware y delnavegador hasta obtener un perfil suficientemente distintivo. Locurioso es que todo este tema salió a la luz prácticamentepor accidente.
(imagen visible para usuarios registrados)
Fue el desarrollador responsable del blog Laserphile quien comenzó ainvestigar por qué sus auriculares Bluetooth multipuntodejaban de reproducir el audio del móvil cada vez que abríaAliExpress desde Firefox o Chrome. Cerrar lapestaña solucionaba inmediatamente el problema, perosilenciar la pestaña, Firefox o incluso Windows no servía paranada. No había vídeos, música ni anuncios reproduciéndose ensegundo plano. Es por ello que decidió analizar directamente laactividad de la API Web Audio. Fue entonces cuando encontródos contextos de audio ocultos generados porscripts de Alibaba, una actividad que además coincide con unproblema de AliExpress registrado en Bugzilla de Mozilla desde haceaproximadamente dos años.
La investigación reveló que AliExpress crea dos objetosAudioContext independientes mediante los scripts collina.js yfireyejs.js. Ambos se encuentran alojados dentro de lainfraestructura de Alibaba bajo el directorio AWSC. Los doscontextos entran en estado activo aunque la página no contenganingún elemento de audio o vídeo, no se realice ninguna llamadaconvencional a reproducción y no exista una sesión multimediaactiva. Técnicamente, los scripts generan una onda dediente de sierra mediante un oscilador, la pasan por unAnalyserNode y un ScriptProcessorNode y terminan conectándola a unGainNode configurado con volumen cero antes deenviarla a AudioContext.destination. El usuario no escuchaabsolutamente nada, pero el navegador sí realiza todo elprocesamiento de audio necesario.
Ese procesamiento permite crear una huella de audio deldispositivo. Y es que una misma señal puede arrojarpequeñas diferencias según la CPU, arquitectura, sistema operativoo navegador. AliExpress podía medir esas variaciones medianteWebAudio y combinarlas con otros datos para distinguir equipos.Precisamente este mecanismo fue descubierto porque, aunque elsonido tenía volumen cero, el flujo de audio seguía activo: losauriculares Bluetooth multipunto del investigador interpretaban queel PC continuaba reproduciendo sonido y no devolvían correctamenteel control al teléfono. Mozilla ya había registrado uncomportamiento similar en AliExpress, capaz incluso de mantenerocupado el dispositivo de audio e impedir la suspensión automáticade Windows 11, algo que sus desarrolladores ya relacionabancon posibles técnicas de fingerprinting.
(imagen visible para usuarios registrados)
El análisis de collina.js y fireyejs.js muestra que AliExpressno se limita al subsistema de sonido. Los scripts contienen códigodestinado a obtener información mediante Canvas yWebGL. Esto permite conocer el renderer gráfico y susenssu, medir la precisión de shaders, consultar resolución depantalla y tamaño de la ventana, densidad de píxeles, número dehilos de la CPU, memoria RAM disponible, plugins instalados,formatos multimedia compatibles, WebRTC y tiempos de rendimientodel navegador. También se observan datos relacionados conel movimiento del ratón, eventos táctiles, scroll, foco dela ventana, movimiento y orientación del dispositivo, y propiedadesempleadas habitualmente para detectar navegadoresautomatizados.
Básicamente, con toda esta información sepuede construir una huella digital mucho másrobusta que la proporcionada únicamente por WebAudio. A ello se lesuma que, desde el navegador web, se puede comprobar queAlibaba recopila y transmite estas características, perono es posible determinar qué hace exactamente con ellas una vezllegan a sus servidores. El propio descubridor plantea que podríanutilizarse como identificador persistente, perotambién como parte de un sistema antifraude o de detecciónde bots.
AliExpress tiene razones evidentes para distinguir compradoresnormales de sistemas automatizados. Con ello reduce el scraping,embeleco de pagos, cuentas falsas, apropiación de cuentas, abuso depromociones o manipulación de reseñas. Por ello, no puede afirmarsecon las pruebas disponibles que toda esta infraestructura estédedicada exclusivamente al seguimiento publicitario, aunquetécnicamente las características recopiladas permiten crear unahuella del dispositivo mucho más resistente que una cookieconvencional. Los navegadores centrados en privacidad intentanprecisamente reducir el valor de estos datos. Firefox oBrave recurren a técnicas que alteran estosresultados. Mientras que bloqueadores como uBlockOrigin evita que AliExpress cree estos audios.
Al final mucho de: ¡Los americanos nos espían!. Lo hacen también empresas chinas.
Entre el bajón de ventas por la subida de precios tras los aranceles y como empiecen a salir más cosillas, van a ir hacia atrás.
Mirad estos datos sacados de Lituania:
(imagen visible para usuarios registrados)
Tras los famosos impuestos los envíos de artículos de menos de 150€ han caído en picado respecto al año anterior.
Brave, el conocido navegador ligado a mejorarla privacidad, ha dado promovido la visibilidad del caso asegurandoque este tipo de técnicas permiten identificar y seguir aun usuario incluso sin recurrir a cookies. Esto seconsigue al combinar pequeñas diferencias del hardware y delnavegador hasta obtener un perfil suficientemente distintivo. Locurioso es que todo este tema salió a la luz prácticamentepor accidente.
AliExpress genera una señal de audio silenciosa y analiza cómoresponde el dispositivo
(imagen visible para usuarios registrados)
Fue el desarrollador responsable del blog Laserphile quien comenzó ainvestigar por qué sus auriculares Bluetooth multipuntodejaban de reproducir el audio del móvil cada vez que abríaAliExpress desde Firefox o Chrome. Cerrar lapestaña solucionaba inmediatamente el problema, perosilenciar la pestaña, Firefox o incluso Windows no servía paranada. No había vídeos, música ni anuncios reproduciéndose ensegundo plano. Es por ello que decidió analizar directamente laactividad de la API Web Audio. Fue entonces cuando encontródos contextos de audio ocultos generados porscripts de Alibaba, una actividad que además coincide con unproblema de AliExpress registrado en Bugzilla de Mozilla desde haceaproximadamente dos años.
La investigación reveló que AliExpress crea dos objetosAudioContext independientes mediante los scripts collina.js yfireyejs.js. Ambos se encuentran alojados dentro de lainfraestructura de Alibaba bajo el directorio AWSC. Los doscontextos entran en estado activo aunque la página no contenganingún elemento de audio o vídeo, no se realice ninguna llamadaconvencional a reproducción y no exista una sesión multimediaactiva. Técnicamente, los scripts generan una onda dediente de sierra mediante un oscilador, la pasan por unAnalyserNode y un ScriptProcessorNode y terminan conectándola a unGainNode configurado con volumen cero antes deenviarla a AudioContext.destination. El usuario no escuchaabsolutamente nada, pero el navegador sí realiza todo elprocesamiento de audio necesario.
Ese procesamiento permite crear una huella de audio deldispositivo. Y es que una misma señal puede arrojarpequeñas diferencias según la CPU, arquitectura, sistema operativoo navegador. AliExpress podía medir esas variaciones medianteWebAudio y combinarlas con otros datos para distinguir equipos.Precisamente este mecanismo fue descubierto porque, aunque elsonido tenía volumen cero, el flujo de audio seguía activo: losauriculares Bluetooth multipunto del investigador interpretaban queel PC continuaba reproduciendo sonido y no devolvían correctamenteel control al teléfono. Mozilla ya había registrado uncomportamiento similar en AliExpress, capaz incluso de mantenerocupado el dispositivo de audio e impedir la suspensión automáticade Windows 11, algo que sus desarrolladores ya relacionabancon posibles técnicas de fingerprinting.
El audio es solo una parte de una huella digital mucho máscompleta recopilada por Alibaba
(imagen visible para usuarios registrados)
El análisis de collina.js y fireyejs.js muestra que AliExpressno se limita al subsistema de sonido. Los scripts contienen códigodestinado a obtener información mediante Canvas yWebGL. Esto permite conocer el renderer gráfico y susenssu, medir la precisión de shaders, consultar resolución depantalla y tamaño de la ventana, densidad de píxeles, número dehilos de la CPU, memoria RAM disponible, plugins instalados,formatos multimedia compatibles, WebRTC y tiempos de rendimientodel navegador. También se observan datos relacionados conel movimiento del ratón, eventos táctiles, scroll, foco dela ventana, movimiento y orientación del dispositivo, y propiedadesempleadas habitualmente para detectar navegadoresautomatizados.
Básicamente, con toda esta información sepuede construir una huella digital mucho másrobusta que la proporcionada únicamente por WebAudio. A ello se lesuma que, desde el navegador web, se puede comprobar queAlibaba recopila y transmite estas características, perono es posible determinar qué hace exactamente con ellas una vezllegan a sus servidores. El propio descubridor plantea que podríanutilizarse como identificador persistente, perotambién como parte de un sistema antifraude o de detecciónde bots.
AliExpress tiene razones evidentes para distinguir compradoresnormales de sistemas automatizados. Con ello reduce el scraping,embeleco de pagos, cuentas falsas, apropiación de cuentas, abuso depromociones o manipulación de reseñas. Por ello, no puede afirmarsecon las pruebas disponibles que toda esta infraestructura estédedicada exclusivamente al seguimiento publicitario, aunquetécnicamente las características recopiladas permiten crear unahuella del dispositivo mucho más resistente que una cookieconvencional. Los navegadores centrados en privacidad intentanprecisamente reducir el valor de estos datos. Firefox oBrave recurren a técnicas que alteran estosresultados. Mientras que bloqueadores como uBlockOrigin evita que AliExpress cree estos audios.
Al final mucho de: ¡Los americanos nos espían!. Lo hacen también empresas chinas.
Entre el bajón de ventas por la subida de precios tras los aranceles y como empiecen a salir más cosillas, van a ir hacia atrás.
Mirad estos datos sacados de Lituania:
(imagen visible para usuarios registrados)
Tras los famosos impuestos los envíos de artículos de menos de 150€ han caído en picado respecto al año anterior.