How a paused song exposed a silent tracking script on AliExpress

כשמתיו קלאהן פתח את אתר עליאקספרס קרה משהו מוזר - המוזיקה שהוא שמע באוזניות הפסיקה פתאום. ואז התברר שהוא עלה על משהו מעניין במיוחד.

-

כשאנחנו גולשים באינטרנט, הדבר החשוב ביותר לבעלי האתרים אליהם אנחנו נכנסים הוא לאסוף עלינו מידע, וכמה שיותר.
איסוף מידע והצלבה שלו מאפשרים לבנות פרופיל שלנו, כך שניתן להציע לנו בדיוק את המוצר שאנחנו מעוניינים לקנות ובדיוק ברגע הנכון.

איסוף מידע נעשה בדרך כלל באמצעות עוגיות, שמאפשרות לאתרים שונים לזהות אותנו בפעם הבאה שאנו נכנסים אליהם, אבל חוקים וטכנולוגיות פרטיות הופכים את איסוף המידע החוקי למאתגר, מה שמעודד בעלי אתרים למצוא פתרונות יצירתיים.

-

אחת הטכנולוגיות האלו היא זיהוי משתמשים באמצעות קול.
בעבר פותחה טכנולוגיה לאפיון משתמשים באמצעות השמעה של צליל בתדר גבוה מזה שהאוזן האנושית מסוגלת לזהות. הצליל היה מוצפן בתוך פסקול של תשדירי פרסומת, ואפליקציות שונות על המכשיר של המשתמש היו מסוגלות להאזין לו. כך היה ניתן לקשר בין המכשיר של המשתמש לפרסומת בה הוא צפה.
הטכנולוגיה הזו נבלמה כשהחוק בארצות הברית אסר את השימוש בה, ושיפור הפרטיות במכשירי הטלפון הפך את הפעלת המיקרופון לבלתי אפשרית מבלי אישור של המשתמש.

כשמתיו קלאהן פתח את עליאקספרס והמוזיקה באוזניות שלו פסקה, הוא חשף שם שיטה אחרת לאפיון משתמשים באמצעות קול.
בקוד האתר הוטמע סקריפט שגרם למחשב לייצר גל שמע אלקטרוני, כשעוצמת השמע הוגדרה לאפס כדי לוודא שהוא לא יישמע לאוזני המשתמש.
בגרסאות דפדפן ישנות, הדפדפן משתמש בספריות של מערכת ההפעלה כדי ליצור את השמע, ומכיוון שכל מחשב הוא שילוב של רכיבי חומרה, תוכנה ודרייברים שונים, קיימים הבדלים מזעריים בשמע הסופי. ההבדלים האלו משמשים כמזהה ייחודי של המחשב בו השמע נוצר.

מתיו השתמש באוזניות שהיו מחוברות למכשיר אחר ולמחשב באותו הזמן. ייצור השמע באתר של עליאקספרס גרם לאוזניות להעביר את מקור השמע לשם ולנתק את המוזיקה, וכך הסיפור התגלה.

גרסאות דפדפן חדשות כבר מטמיעות טכנולוגיות שנועדו להקשות על יצירת טביעת אצבע ייחודית של המשתמש, מה שמקשה על השיטה הזו לפעול. בכל מקרה עליאקספרס תיאלץ כנראה להשבית את הקוד הזה לאחר שהוא נחשף.

אבל ההיסטוריה מוכיחה שהמוח האנושי יודע תמיד למצוא דרכים חדשות, וכנראה שהסיבוב הבא יהיה מעניין לא פחות.

--
👋 היי, אני שלמה שטראוס והפוסטים שלי לא נכתבים על ידי בינה מלאכותית.
מוזמנים לעקוב אחריי לעוד תוכן מעניין בנושאי מדע וטכנולוגיה, או לחפש ׳הבלוג של שלמה שטראוס׳ בגוגל.

Software & Development

How a paused song exposed a silent tracking script on AliExpress