AliExpress、不可聴音でブラウザ指紋採取が発覚
Original : Inaudible sounds used to fingerprint browsers catch AliExpress red-handed
Pourquoi c'est important
大手ECサイトによる多層的フィンガープリント追跡はプライバシー規制の焦点となりうる
AliExpressが訪問者のブラウザにWebAudioを使った不可聴音を送信し、フィンガープリントを収集していたことが判明。研究者Matthew Callaghanがヘッドフォンの異常動作から偶然発見。同サイトは12以上の追跡手法を併用していた。
研究者Matthew Callaghanは、AliExpressのホームページを読み込むたびにBluetoothヘッドフォンがPC側の音声を優先してしまう現象に気づいたことで、この追跡を偶然発見した。調査の結果、高度に難読化された2つのスクリプトが、WebAudio APIを利用してSawtooth波形をブラウザに送信し、各環境固有の音響特性を計測していることが判明。スクリプトはゲインをゼロに設定してユーザーには聞こえないようにしているが、ブラウザは引き続き処理してデータをAliExpressに送信する仕組みだ。この「音響フィンガープリント」手法は、CPUや数学ライブラリの差異による固有署名を生成するものだが、Firefoxはバージョン118（2023年）から独自ライブラリを採用し対策済み。ChromeおよびSafariも同様に効果がないとされる。AliExpressはこの時代遅れな手法に加え、canvas描画、WebGL、WebRTC挙動、デバイスメモリなど12以上の追跡技術を組み合わせていることも確認された。