Foto di Jumping Jax.

Oggigiorno, è più difficile usare i cookie per profilare gli utenti. Così il gigante cinese Alibaba ha ideato una tecnica differente, come ha scoperto uno sviluppatore indipendente: l'attivazione del sistema audio del PC da parte della pagina di AliExpress consente alla piattaforma di raccogliere informazioni tecniche sui dispositivi degli utenti attraverso un meccanismo di fingerprinting basato sulla Web Audio API. Il ricercatore ha osservato come, visitando il sito, venisse generato un segnale sintetico non udibile ma sufficiente a mantenere impegnato il canale audio del sistema, con effetti collaterali immediati sulle sue cuffie Bluetooth.

L'analisi del codice ha evidenziato la presenza di due script offuscati, denominati collina.js e fireyejs.js, che creano due contesti audio distinti. All'interno di ciascun contesto vengono istanziati nodi come oscillatori, analizzatori, compressori dinamici e controlli di guadagno impostati a zero. Il segnale risultante non produce alcuna uscita percepibile, ma viene comunque elaborato dal browser, generando una traccia audio continua. Il grafo audio costruito dagli script è composto da elementi tipici della Web Audio API: un OscillatorNode che genera l'onda sintetica, un AnalyserNode che ne campiona le caratteristiche, un DynamicsCompressorNode che ne modifica la dinamica e un GainNode con guadagno nullo che impedisce la riproduzione effettiva. La struttura complessiva è coerente con tecniche note di fingerprinting basate sulla risposta del sistema audio.

La creazione di questo segnale ha un effetto collaterale rilevante sui dispositivi Bluetooth multipoint. Le cuffie che gestiscono più sorgenti contemporaneamente mantengono la priorità sulla sorgente che sta generando un flusso audio, anche se silenzioso. Di conseguenza, quando l'utente visita AliExpress, il telefono può perdere la priorità audio, impedendo la riproduzione di notifiche o contenuti multimediali. È così che il segreto è stato scoperto.

Gli script non si limitano al fingerprinting audio. Le analisi indicano che vengono raccolti anche segnali provenienti da Canvas, WebGL, WebRTC, memoria disponibile, numero di processori logici e interazioni dell'utente con la pagina. L'insieme di questi dati contribuisce alla creazione di un profilo tecnico del dispositivo, utile per identificare in modo univoco la configurazione hardware e software. La raccolta dei dati risulta collegata all'infrastruttura AWSC, un sistema antifrode utilizzato da Alibaba per individuare comportamenti sospetti e automatismi.

Sullo stesso tema:

Identità digitale facoltativa, l'UE ammette l'iniziativa. Ora tocca...

Il telefono minimalista di Commodore che sfida gli smartphone tradizionali

FROST trasforma l'SSD in una finestra sulle tue attività digitali

Mouse e tastiera sotto controllo: Meta usa i dipendenti come dataset per l'i...

Il comportamento è stato osservato sia nella versione desktop del sito sia in quella mobile, con differenze minime nella struttura del grafo audio. In entrambi i casi, il segnale sintetico viene generato a volume zero, ma mantiene attivo il canale audio del sistema, producendo gli stessi effetti sulle periferiche Bluetooth. Al momento non ci sono dichiarazioni ufficiali da parte della piattaforma, né spiegazioni sul motivo per cui il fingerprinting audio venga eseguito in modo silenzioso.