Die Plattform AliExpress geriet in den Mittelpunkt einer technischen Untersuchung zum versteckten Sammeln von Gerätedaten der Nutzer. Laut Berichten des Mediums TechSpot nutzt die Website offenbar einen Audio-Tracking-Mechanismus, der es ermöglicht, eindeutige Geräteeigenschaften direkt über den Browser zu erfassen. Dazu werden Audioprozesse gestartet, die ohne jeden hörbaren Ton arbeiten; die gewonnenen Daten können mit anderen Parametern kombiniert werden, um einen stabilen digitalen Fingerprint des Geräts zu erstellen. Die Untersuchung begann mit einem alltäglichen Fehler, den ein Entwickler bei der Arbeit mit der Plattform bemerkte.
Wie ein Fehler in den Kopfhörern den versteckten Tracker aufdeckte
Anlass für die Untersuchung war ein Problem mit Bluetooth-Kopfhörern: Bei einem offenen AliExpress-Tab konnten die Geräte nicht korrekt vom Computer auf das Smartphone wechseln, während die Störung nach dem Schließen der Seite verschwand. Nach Analyse des Quellcodes der Plattform stellte der Entwickler fest, dass die Website die Web Audio API zur Erstellung sogenannter Audio-Grafs (AudioGraphs) mit Null-Lautstärke nutzt. Der Nutzer hört keinen Ton, aber der Browser verarbeitet das Audiosignal weiterhin und verbindet sich mit dem System-Audiogerät des Computers – genau dies beeinflusste nach Einschätzung der Experten die Funktion der Bluetooth-Kopfhörer.
Der Mechanismus: unsichtbarer Ton und digitaler Fingerprint
Die festgestellte Aktivität hat nichts mit der gewöhnlichen Wiedergabe von Multimedia-Inhalten zu tun. Da der Audio-Graph mit einem Null-Verstärkungsgrad arbeitete und direkt mit dem System-Audioausgang verbunden war, reichte das einfache Stummschalten des Tabs nicht aus, um die Signalverarbeitung zu stoppen. Derselbe Mechanismus kann, wie Experten betonen, auch für das Audio-Fingerprinting eingesetzt werden – eine Technologie, die ein Gerät anhand kleiner Unterschiede bei der Verarbeitung desselben Audiosignals identifiziert. Auf das Ergebnis wirken sich Prozessor, Audiogerät, Betriebssystem, Browser und Treiber aus; die Gesamtheit dieser Merkmale kann einen stabilen Geräte-Identifier bilden.
Nicht nur Audio: der vollständige Satz der gesammelten Daten
Die Audiodaten waren dem entdeckten Code zufolge offenbar nur ein Teil der Informationen, die die Skripte von AliExpress sammeln konnten. Zur Liste gehörten auch Angaben zur Canvas- und WebGL-Renderung, zu Display-Einstellungen, zur Hardware-Konfiguration, zur WebRTC-Aktivität und zu Nutzervorgängen. Zusammen ermöglichen diese Parameter die Erstellung eines detaillierteren Geräteprofils als bei der Nutzung einer einzelnen Funktion. Fingerprinting wird von Internetdiensten weit verbreitet zum Betrugsschutz, zur Bot-Erkennung und zur Bewertung verdächtiger Aktivität eingesetzt; das Problem besteht jedoch darin, dass der Nutzer in der Regel nichts vom Sammeln solcher Daten weiß und kaum Möglichkeiten hat, es zu kontrollieren.
Reaktion von Brave und Schutzmaßnahmen
Auf die Vorgänge reagierte das Unternehmen Brave: Am 22. August teilte es in den sozialen Medien auf X mit, dass sein Browser, der Nutzer standardmäßig vor Fingerprinting schützt, die für das Audio-Tracking verantwortlichen Skripte von AliExpress erkannt und zu blockieren begann. Nutzer anderer Browser können solche Skripte ebenfalls über Inhaltsfilterungsmittel wie das uBlock-Origin-Extension blockieren; wie TechSpot jedoch anmerkt, kann dies die Funktion einzelner Bereiche der Plattform beeinträchtigen. Ein offizielles Statement von AliExpress zum entdeckten Mechanismus wird in den vorliegenden Quellen nicht zitiert.
