AliExpress’in Sessiz Takip Yöntemi Ortaya Çıktı: Tarayıcıda Duyulmayan Ses İşlemleri Yapıyor

Dünyanın en büyük çevrim içi alışveriş platformlarından AliExpress, tarayıcıda kullanıcıların fark etmesinin oldukça güç olduğu bir yöntemle gündemde. Platformun ana sayfasında çalışan bazı JavaScript kodlarının, Web Audio API üzerinden duyulmayan ses işlemleri gerçekleştirdiği ve bu işlemleri cihazın dijital parmak izini oluşturabilecek veriler toplamak için kullandığı ortaya çıktı.

Üstelik sistemi ortaya çıkaran şey bir güvenlik araştırmasından ziyade, ilk bakışta sıradan görünen bir Bluetooth kulaklık problemi oldu.

Yapılan teknik incelemede AliExpress sayfasında çalışan kodların yalnızca ses sistemiyle ilgili bilgilerle yetinmediği; Canvas, WebGL, ekran özellikleri, donanım bilgileri, WebRTC ve kullanıcı etkileşimleri gibi farklı sinyalleri de değerlendirebildiği görüldü.

Bu verilerin birlikte kullanılması, klasik çerezlere ihtiyaç duymadan bir tarayıcı veya cihaz hakkında ayırt edici bir profil oluşturulmasına imkan tanıyabiliyor.

Bluetooth kulaklıktaki sorun AliExpress kodlarını ortaya çıkardı

Olay, laserphile kullanıcı adıyla bilinen bir geliştiricinin Bluetooth multipoint destekli kulaklığında sıra dışı bir problem yaşamasıyla başladı.

Multipoint teknolojisi, aynı Bluetooth kulaklığın örneğin bir bilgisayar ve telefona aynı anda bağlı kalmasına olanak sağlıyor. Kullanılan cihazlardan biri ses çalmayı bıraktığında kulaklık diğer cihazdaki sese geçebiliyor.

Ancak geliştirici, AliExpress ana sayfası tarayıcıda açıkken kulaklığının bilgisayardan telefona düzgün şekilde geçmediğini fark etti.

AliExpress sekmesi kapatıldığında sorun ortadan kalkıyordu.

Daha da ilginci, sekmeyi sessize almak veya bilgisayarın sesini kapatmak problemi çözmüyordu.

Yapılan incelemede AliExpress sayfasında görünür bir video veya müzik oynatıcısı olmadığı halde tarayıcının ses altyapısının aktif tutulduğu tespit edildi. Teknik analizlerde collina.js ve fireyejs.js isimli iki betiğin AudioContext nesneleri oluşturduğu ve Web Audio API üzerinden ses işleme grafikleri çalıştırdığı görüldü.

Kullanıcı hiçbir şey duymuyor ancak ses sistemi çalışmaya devam ediyor

Sistemin dikkat çekici tarafı, gerçekleştirilen işlemlerin kullanıcı açısından tamamen sessiz olması.

Kod tarafından oluşturulan ses grafiğinde bir dalga üretiliyor, tarayıcı tarafından işleniyor ve sonuç analiz ediliyor. İşlemin sonunda bulunan GainNode değerinin sıfıra ayarlanması, ortaya çıkan sesin kullanıcı tarafından duyulmamasını sağlıyor.

Fakat ses grafiği buna rağmen AudioContext.destination üzerinden sistemin ses çıkışına bağlı kalıyor.

Başka bir ifadeyle ses seviyesi sıfır olsa bile tarayıcı ses işlemini gerçekleştirmeye devam ediyor.

Bluetooth kulaklığın bilgisayarı hâlâ aktif bir ses kaynağı olarak değerlendirmesi de multipoint geçişindeki problemin muhtemel nedenini oluşturuyor.

Sekmenin sessize alınmasının problemi çözmemesi de bundan kaynaklanıyor. Burada klasik bir video veya müzik oynatıcısı bulunmadığından tarayıcıdaki standart sessize alma mekanizması ses işleme grafiğinin kendisini durdurmuyor.

AliExpress WebAudio fingerprinting yöntemini kullanıyor

Asıl gizlilik tartışması ise söz konusu ses işleminin browser fingerprinting, yani tarayıcı parmak izi oluşturma amacıyla kullanılabilmesiyle başladı.

WebAudio fingerprinting yönteminde tarayıcı tarafından matematiksel olarak oluşturulan aynı ses sinyali cihaz üzerinde işleniyor.

İşlem sonucunda ortaya çıkabilen küçük farklılıklar;

işlemci mimarisi, işletim sistemi, tarayıcı, ses işleme altyapısı ve sürücüler gibi çeşitli bileşenlerden etkilenebiliyor.

Ortaya çıkan değerler başka cihaz sinyalleriyle birleştirilerek ziyaretçinin tarayıcısına ilişkin daha ayırt edici bir profil oluşturulabiliyor.

Bu yöntem klasik çerezlerden önemli bir noktada ayrılıyor.

Çerezlerde internet sitesi kullanıcının cihazına veri kaydederken fingerprinting sistemleri genellikle cihazın ve tarayıcının mevcut özelliklerini ölçerek bir profil çıkarmaya çalışıyor.

Bu nedenle yalnızca çerezleri temizlemek veya engellemek, tüm fingerprinting tekniklerini otomatik olarak ortadan kaldırmıyor.

Sadece ses değil: Canvas, WebGL ve donanım bilgileri de inceleniyor

AliExpress üzerinde incelenen kodların WebAudio dışında çok sayıda farklı tarayıcı sinyalini değerlendirebildiği bildiriliyor.

Bunların arasında:

• Canvas işleme sonuçları
• WebGL ve ekran kartı bilgileri
• Ekran ve tarayıcı penceresi özellikleri
• devicePixelRatio
• İşlemci çekirdeğiyle ilgili hardwareConcurrency
• Cihaz belleğiyle ilgili deviceMemory
• Desteklenen medya biçimleri
• WebRTC davranışları
• Tarayıcı performans ölçümleri
• Fare ve dokunmatik ekran hareketleri
• Odaklanma ve kaydırma davranışları
• Tarayıcı otomasyonunu tespit etmeye yönelik çeşitli sinyaller

yer alıyor.

Bu bilgilerin her biri tek başına bir kullanıcıyı kesin olarak tanımlamayabilir. Ancak çok sayıda sinyalin bir araya getirilmesi, daha ayrıntılı bir cihaz veya tarayıcı parmak izi elde edilmesini sağlayabilir.

Veriler reklam takibinde mi kullanılıyor?

Burada önemli bir ayrıntının altını çizmek gerekiyor.

İncelenen kodların browser fingerprinting için kullanılabilecek veriler topladığına ilişkin güçlü teknik bulgular bulunmasına rağmen, AliExpress’in elde edilen WebAudio verilerini doğrudan reklam amaçlı kalıcı kullanıcı takibinde nasıl kullandığı kamuya açık bilgilerle kesin olarak doğrulanmış değil.

Kodların bulunduğu altyapının Alibaba’nın AWSC olarak tanımlanan güvenlik ve kötüye kullanım önleme sistemleriyle bağlantılı olduğu belirtiliyor.

Büyük e-ticaret platformları cihazlardan elde edilen benzer sinyalleri yalnızca reklam amacıyla değil;

bot tespiti, sahte hesapların belirlenmesi, otomatik fiyat toplama sistemlerinin engellenmesi, dolandırıcılık önleme ve risk değerlendirmesi

gibi güvenlik işlemlerinde de kullanabiliyor.

Dolayısıyla AliExpress’te tespit edilen sistemin yalnızca reklam takibi yaptığı sonucuna varmak için şu aşamada yeterli kamuya açık kanıt bulunmuyor.

Buna karşılık kullanıcıların bilgisi dışında bu kadar geniş cihaz sinyallerinin değerlendirilebilmesi, internet gizliliği açısından ciddi bir tartışmayı beraberinde getiriyor.

Firefox: WebAudio ile takip artık eskisi kadar etkili değil

Konuyla ilgili dikkat çeken açıklamalardan biri de Firefox tarafında geldi.

Firefox’ta fingerprinting korumaları üzerinde çalışan Tom Ritter, browser fingerprinting yöntemlerinin internette oldukça yaygın bir takip yöntemi olduğunu belirtirken, özellikle WebAudio fingerprinting yönteminin güncel Firefox sürümlerinde eskisi kadar etkili olmadığını söyledi.

Ritter’a göre Firefox, WebAudio üzerinden elde edilebilecek ayırt edici sonuçları büyük ölçüde sınırlandırmış durumda.

Bu nedenle AliExpress’in çalıştırdığı kodun Bluetooth ses sistemini aktif tutarak gerçek bir yan etki oluşturması mümkün olsa da, aynı kodun Firefox kullanıcılarından elde ettiği parmak izi değerlerinin beklenenden çok daha düşük ayırt ediciliğe sahip olabileceği belirtiliyor.

Çerezler engellense bile fingerprinting tartışması devam ediyor

İnternet dünyasında üçüncü taraf çerezlerin kullanımının giderek sınırlandırılması, cihaz parmak izi yöntemlerini daha önemli bir gizlilik başlığı haline getiriyor.

Canvas, WebGL, WebAudio ve donanım özelliklerinin ölçülmesi gibi teknikler kullanıcı cihazına klasik anlamda bir takip çerezi yerleştirmek zorunda değil.

Bu durum kullanıcı kontrolü açısından önemli bir soru ortaya çıkarıyor: Tarayıcı cihaz hakkında onlarca farklı teknik bilgiyi paylaşabiliyorsa yalnızca çerezleri reddetmek ne kadar yeterli?

Modern tarayıcı üreticileri bu nedenle fingerprinting yöntemlerine karşı çeşitli savunmalar geliştiriyor. Örneğin Firefox bazı sonuçları standartlaştırıyor veya değiştirerek cihazların birbirinden ayırt edilmesini zorlaştırıyor. WebGL üzerinden sunulabilecek donanım bilgilerinin miktarı da kullanılan tarayıcı ve gizlilik ayarlarına göre sınırlandırılabiliyor.

AliExpress vakasının en ilginç yanı ise kullanılan teknolojinin kendisinden çok, sistemin Bluetooth kulaklığında oluşturduğu beklenmedik yan etkinin yöntemi görünür hale getirmesi oldu.

Normal şartlarda kullanıcı ekranda herhangi bir oynatıcı görmüyor, ses duymuyor ve tarayıcıdaki standart sessize alma seçenekleri de işleme grafiğini ortadan kaldırmıyor.

Bluetooth multipoint sorunu yaşanmasaydı bu işlemin sıradan bir kullanıcı tarafından fark edilmesi oldukça güç olabilirdi.