AliExpress-Audio-Tracking-Skripte werfen Datenschutzbedenken auf

Ein Entwickler hat festgestellt, dass die AliExpress-Startseite unbemerkt Audioverarbeitungscode ausführen kann, um einen detaillierten Geräte-Fingerabdruck zu erstellen. Die gemeldete Methode des AliExpress-Audio-Trackings zeichnet keine Gespräche auf, könnte jedoch gerätespezifische Signale ohne klare Information der Nutzer erfassen.

Versteckte Audioverarbeitung beeinträchtigte Bluetooth-Kopfhörer

Der unter dem Namen laserphile bekannte Entwickler bemerkte ein ungewöhnliches Problem bei der Verwendung von Bluetooth-Kopfhörern mit Multipoint-Unterstützung.

Wenn die AliExpress-Website auf einem PC geöffnet war, stoppte die Audiowiedergabe von einem verbundenen Smartphone. Das Schließen des Browser-Tabs behob das Problem sofort.

Der Entwickler fand auf der Seite keine sichtbaren Medien, Audioplayer oder Videos. Eine Untersuchung identifizierte jedoch zwei versteckte WebAudio-Verarbeitungskontexte, die mit dem Audioausgang des Computers verbunden waren.

Lautlose Signale können Geräte-Fingerprinting unterstützen

Die Skripte erzeugen Berichten zufolge eine bekannte Wellenform und analysieren, wie Browser und Hardware diese verarbeiten. Die Lautstärke ist auf null eingestellt, sodass Nutzer nichts hören sollten.

Dieser Prozess kann geringfügige Unterschiede zwischen Geräten, Browserversionen, Betriebssystemen und Audiobibliotheken aufzeigen. Audiodaten allein reichen möglicherweise nicht aus, um ein Gerät eindeutig zu identifizieren. In Kombination mit anderen Browser-Signalen werden sie jedoch aussagekräftiger.

Die gemeldeten Skripte für das AliExpress-Audio-Tracking sammelten außerdem Daten zu Canvas-Rendering, WebGL, Anzeigeeinstellungen, Hardwarespezifikationen, Browser-Plugins, WebRTC-Verhalten und Nutzerinteraktionen.

Anschließend verschlüsselten die Skripte die gesammelten Daten und sendeten sie laut der Analyse des Entwicklers an die Telemetriedienste von Alibaba.

Alibaba-Skripte könnten der Betrugsprävention dienen

Große Online-Marktplätze nutzen Geräte-Fingerprinting häufig, um Betrug, gefälschte Konten, automatisiertes Einkaufen, Gutscheinmissbrauch und verdächtige Aktivitäten zu erkennen.

Der Entwickler konnte jedoch nicht feststellen, wie AliExpress die gesammelten Daten verwendet, nachdem sie die Server von Alibaba erreicht haben. Der Browsercode gibt keinen Aufschluss darüber, ob das Unternehmen die Fingerabdrücke langfristig speichert oder sie über verschiedene Dienste hinweg miteinander verknüpft.

Der Entwickler erklärte, dass die Technik eine reale Auswirkung auf die Hardware hatte, da sie die Bluetooth-Audioverbindung des PCs aktiv hielt. Dadurch konnten die Kopfhörer nicht problemlos zurück zum Smartphone wechseln.

Nutzer können die identifizierten Skripte blockieren

Der Entwickler testete die Blockierung der beiden identifizierten AliExpress-Skriptgruppen mit einem Inhaltsblocker. Nach der Blockierung erschienen die versteckten Audiokontexte nicht mehr und das Bluetooth-Problem trat nicht länger auf.

Das Blockieren von Skripten zur Betrugsprävention könnte jedoch Probleme bei der Anmeldung oder beim Bezahlvorgang verursachen. Nutzer könnten zusätzliche CAPTCHA-Abfragen sehen oder auf Zahlungsprobleme stoßen.

Die gemeldete Methode des AliExpress-Audio-Trackings zeigt, wie Websites umfangreiche Browser- und Gerätedaten erfassen können, ohne Cookies zu verwenden. Sie wirft außerdem Fragen zur Transparenz auf, wenn Onlinehändler versteckte Fingerprinting-Tools auf gewöhnlichen Shopping-Seiten einsetzen.