AliExpress、不可聴音でブラウザ指紋採取が発覚
Judul asli: Inaudible sounds used to fingerprint browsers catch AliExpress red-handed
Mengapa Ini Penting
大手ECサイトによる多重フィンガープリンティング手法の実態が示され、ユーザープライバシー保護の課題が改めて浮き彫りになった。
中国ECサイトAliExpressが、人間には聞こえない音をブラウザに送信してフィンガープリンティングを行っていたことが、研究者Matthew Callaghanによって発覚した。
研究者Matthew Callaghanは偶然この追跡手法を発見した。AliExpressのホームページを読み込むたびに、マルチポイントBluetoothヘッドフォンからスマートフォンの音声が途切れるという現象がきっかけだった。調査の結果、高度に難読化された2つのスクリプトが発見された。これらはWebAudio APIを使ってブラウザにノコギリ波（Sawtooth波）を生成させ、各ブラウザ固有のオーディオ実装の差異を測定するものだった。ゲインをゼロに設定しているためユーザーには聞こえないが、ブラウザは音声処理を継続しAliExpressにデータを送信する仕組みだ。この「音声フィンガープリンティング」技術はすでに時代遅れとされており、FirefoxはCPUやOSの数学ライブラリの差異を悪用できないよう2023年リリースのバージョン118で対策済み。ChromeおよびSafariも独自ライブラリを使用しているため、この手法は効果がないとされる。AliExpressはこの手法に加え、canvasレンダリング、WebGL情報、画面サイズ、WebRTC挙動、マウス・タッチイベントなど十数種類の追跡手法を併用していることも判明した。