Çerezler çevrim içi ortamda insanları izlemek için daha az güvenilir bir yöntem hâline geldikçe, AliExpress şirketlerin bu boşluğu doldurmak için ne kadar ileri gidebileceğini gösteriyor. Araştırmacılar, sitenin ana sayfasında tarayıcıda duyulmayan ses işlemleri çalıştıran bir kod buldu. Alibaba güvenlik sistemlerine bağlı çalışan bu betikler, bir sinyal oluşturmak ve bu sinyalin cihaza özgü minik dönüş biçimlerini ölçmek için cihazın kendi ses donanımını kullanıyor. Böylece çalışmak için tek bir çereze bile ihtiyaç duymayan, parmak izine yakın bir sonuç üretiyo ve bu, bir kullanıcının büyük olasılıkla fark edemeyeceği türden bir izleme.
Sorun bir geliştiricinin AliExpress sekmesi açıkken çoklu bağlantı destekli Bluetooth kulaklıklarını kullanmakta sorun yaşamasıyla ortaya çıktı: Kulaklık bilgisayardan telefona düzgün şekilde geçiş yapmıyordu. Sekme kapatıldığında sorun ortadan kalktı.
Sitenin kodunu inceleyen geliştirici, AliExpress’in Web Audio API kullanarak ses işleme grafikleri oluşturup ses seviyesini sıfıra ayarladığını tespit etti. Süreç duyulabilir hiçbir ses üretmiyordu ancak yine de bilgisayarın ses sistemine bağlanıyor ve ses yolunu arka planda aktif tutuyordu. Kulaklığın cihazlar arasında geçiş yapmasına müdahale eden şeyin de bu olduğu görülüyor.
Bu durum, normal bir medya oynatıcıya bağlı ses etkinliklerinden biri değildi. İşleme grafiği sıfır kazançla çalıştığı ve doğrudan sistemin ses çıkışına bağlandığı için tarayıcı sekmesini sessize almak işlemi durdurmaya yetmedi: Duyulacak hiçbir şey olmamasına rağmen tarayıcı sinyali işlemeye devam etti.
Aynı kod, cihaza özgü detayları toplayan ve zaman içinde bir tarayıcıyı tanımak için bunları birleştiren bir teknik olan tarayıcı parmak izi oluşturma sürecini de destekleyebilir. Bu olayda betikler, bir cihazın birebir aynı ses sinyalini işleme biçimindeki küçük farklılıkları ölçtü. Farklılıklar bilgisayarın işlemcisi, ses donanımı, işletim sistemi, tarayıcısı ve sürücüleri tarafından şekilleniyor.
Ses ölçümleri, bildirilen veri toplama sürecinin yalnızca bir parçasıydı. Betikler ayrıca canvas işleme, WebGL, ekran ayarları, donanım yapılandırması, WebRTC davranışı ve kullanıcı etkileşimleriyle bağlantılı bilgileri de topladı. Bu sinyaller bir araya geldiğinde, tek bir sinyalin kendi başına sağlayabileceğinden çok daha detaylı bir cihaz profili oluşturabiliyor.
Parmak izi takibi, büyük çevrim içi platformlar tarafından genellikle dolandırıcılığı önleme, bot tespiti ve risk değerlendirmesi için kullanılıyor. Çerezler silindiğinde veya hesaplar değiştiğinde şirketlerin şüpheli işlemleri ya da otomatik etkinlikleri tespit etmesine yardımcı olabiliyor fakat gizlilik hakları savunucuları, kullanıcıların bu izlemenin yapıldığından habersiz kalabileceği ve üzerinde sınırlı kontrole sahip olduğu gerekçesiyle endişelerini dile getiriyor.
Bu durumu ilk dile getirenlerden biri Brave oldu. Şirket, 22 Ağustos tarihli bir X paylaşımında, tarayıcısının ses tabanlı izlemeden sorumlu AliExpress betiklerini engellediğini belirtti ve altı yıldan uzun süredir ses parmak izine karşı varsayılan korumalar barındırdığını vurguladı. Brave şirketinin yaklaşımı, web sitelerinin kararlı ve izlenebilir bir tanımlayıcı yerine tutarsız parmak izi sinyalleri alması için belirli tarayıcı çıktılarını değiştiriyor.
Şirket o zamandan beri benzer korumaları, cihazları tanımlamak için grafik donanımını ve sürücü davranışını kullanan bir yöntem olan GPU parmak izi takibi özelliğine de genişletti ve siteler kullanıcıları ile cihazları birbirinden ayırmak için yeni yollar aradıkça parmak izi tekniklerinin gelişmeye devam edeceğini belirtiyor.
Başka tarayıcılar kullanan kişiler, uBlock Origin gibi içerik engelleyiciler aracılığıyla bu tür betikleri engelleyebilir ancak bunu yapmak, AliExpress platformunun güvenlik veya dolandırıcılığı önleme amacıyla aynı koda dayanan bazı bölümlerini etkileyebilir.
Yaşanan olay, günümüzde çevrim içi güvenliğin büyük bölümünde var olan bu ödünleşmeyi hatırlatıyor. Şirketler şüpheli faaliyetleri tespit etmek için daha fazla yönteme sahip olmak istiyor. Kullanıcılar ve tarayıcı geliştiricileri ise açık bir bildirim veya onay olmadan cihazları takip edebilen araçlara sınır getirilmesini talep ediyor.
Kaynak: http://techspot.com/news/113581-aliexpress-silently-running-audio-browser-fingerprint-track-device.html
