Avete mai notato un comportamento strano delle vostre cuffie Bluetooth quando visitate AliExpress? Forse non un suono, ma un silenzio che interrompe la musica. È proprio così che Matthew Callaghan, un ricercatore di sicurezza, ha scoperto che il gigante cinese utilizza tecniche di fingerprinting audio, sfruttando suoni inudibili per tracciare i visitatori.
Segui TuttoAndroid su Google Discover
La scoperta del ricercatore e lo strano comportamento delle cuffie
Callaghan aveva configurato le cuffie in modalità multipoint, collegate sia al PC che allo smartphone. Quando apriva la homepage di AliExpress, l’audio del telefono si interrompeva, e riprendeva solo chiudendo la scheda. Il problema? Il sito non stava riproducendo alcun suono udibile. Analizzando il comportamento della pagina, il ricercatore ha individuato due script fortemente offuscati: collina.js e fireyejs.js, collegati agli strumenti di sicurezza e anti-abuso di Alibaba. Questi script utilizzavano le API WebAudio del browser, generando una forma d’onda con un oscillatore a dente di sega (sawtooth oscillator). Il volume era impostato a zero, quindi l’utente non sentiva nulla, ma il flusso audio continuava a essere processato dal computer. Le cuffie multipoint reagivano a questo flusso silenzioso, abbandonando lo smartphone per agganciarsi al PC. Come ha dichiarato un esperto di sicurezza: “L’esecuzione ha violato l’unica regola del fingerprinting: restare invisibile.”
Cos’è il fingerprinting audio e perché AliExpress lo usa
Il browser fingerprinting è una tecnica che permette di riconoscere un dispositivo combinando caratteristiche come il browser, la risoluzione, l’hardware e persino il modo in cui vengono elaborate operazioni matematiche. Mentre i cookie possono essere eliminati o bloccati facilmente, il fingerprinting cerca di creare un profilo basato sulle caratteristiche intrinseche del dispositivo. La tecnica audio sfrutta le differenze nella gestione del segnale tra processori, sistemi operativi e librerie matematiche. Generando una forma d’onda e analizzando come il browser e il sistema la elaborano, si ottiene un’impronta quasi unica. Ovviamente, i dati raccolti vengono serializzati e cifrati prima di essere inviati ai servizi di telemetria di Alibaba. Callaghan ha però precisato: “Non posso vedere cosa fa AliExpress con i dati risultanti una volta che raggiungono i loro server”.
Le contromisure dei browser e le implicazioni legali
Curiosamente, il metodo audio scoperto è ormai in gran parte superato. Firefox ha introdotto protezioni già nel 2023 con la versione 118: anziché usare le librerie matematiche del sistema, il browser adotta implementazioni proprie e costanti, rendendo difficile ricavare un’identità distintiva. Anche Chrome utilizza proprie librerie, mentre Safari inietta errori audio per confondere il tracciamento. Brave, tra i primi a evidenziare il comportamento, blocca specificamente gli script di AliExpress e modifica gli output del browser per fornire segnali di fingerprinting incoerenti.
Tuttavia, il codice su AliExpress potrebbe essere un residuo di un sistema sviluppato anni fa e mai rimosso. Oltre all’audio, il sito esamina numerosi altri parametri: canvas, WebGL, dimensioni dello schermo, memoria, CPU, plugin, formati supportati, WebRTC e persino movimenti del mouse e scroll. È un insieme piuttosto completo di tecniche di fingerprinting, che con ogni probabilità aggira le protezioni del GDPR, le funzionalità “Do Not Track” e la cancellazione dei cookie. Il fingerprinting è spesso usato da grandi piattaforme per prevenire frodi e rilevare bot, ma i sostenitori della privacy sottolineano che gli utenti non sanno di essere tracciati e hanno scarso controllo su questo processo.
Se volete essere sicuri di bloccare questi script e tutelare la vostra privacy e sicurezza, potete usare uBlock Origin aggiungendo queste due regole nei vostri filtri personalizzati:
! AliExpress AWSC fingerprinting scripts
||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com
Ricordate di chiudere le schede già aperte, perché bloccare uno script non spegne un contesto audio già creato. Queste regole sono mirate e non dovrebbero rompere il sito, ma potrebbero causare qualche CAPTCHA in più durante il login o il checkout, dato che gli script fanno parte del sistema anti-frode. Se avete problemi, potete disabilitare temporaneamente le regole.
Su Mobile invece non è necessario fare alcunché, soprattutto se usate Chrome, in quanto gli audio non possono partire in autoplay come su PC.