Platforma pro elektronické obchodování AliExpress se ocitla v centru kontroverze poté, co vývojář odhalil nekonvenční techniku sledování. Podle výzkumu webová stránka generuje z prohlížeče neslyšitelné zvukové signály k identifikaci zařízení návštěvníků, což je metoda, která vyvolala obavy mezi odborníky na digitální soukromí. Toto zjištění, o kterém již informovalo několik specializovaných médií, zdůrazňuje, jak velké platformy hledají nové způsoby sledování uživatelů nad rámec tradičních souborů cookie.
Všechno to začalo, když si vývojář Matt Callaghan všiml, že jeho Bluetooth sluchátka přestávají přehrávat hudbu z telefonu, kdykoli má v počítači otevřenou kartu AliExpress. Zavření stránky problém okamžitě vyřešilo. Callaghana to zaujalo a rozhodl se analyzovat kód webových stránek a zjistil, že platforma udržuje na pozadí spuštěný systém pro zpracování zvuku, i když se nepřehrávala žádná média. Svá zjištění zdokumentoval na svém osobním blogu a rychle se stala tématem diskuse v technologické komunitě.
Takto funguje zvukový otisk prstu používaný AliExpressem
Technika používaná AliExpress je založena na technologii Web Audio v prohlížeči. Zodpovědné skripty, identifikované jako collina.js a fireyejs.js, vytvářejí oscilátor, který generuje pilovitou zvukovou vlnu. Tento signál je odeslán přes AnalyserNode a ScriptProcessorNode, než dosáhne GainNode s nulovou hlasitostí. Tímto způsobem je zvuk pro uživatele zcela neslyšitelný, ale prohlížeč jej neustále aktivně zpracovává.
Cílem tohoto procesu je změřit jemné rozdíly ve zpracování signálu, ke kterým dochází v závislosti na zařízení. Každý počítač, operační systém, prohlížeč nebo audioknihovna zpracovává tvar vlny mírně odlišně a tyto variace se stávají jakýmsi jedinečným otiskem prstu. Tato technika, známá jako otisk prstu, umožňuje rozpoznání zařízení bez spoléhání se na soubory cookie, což uživateli ztěžuje vyhnout se identifikaci smazáním historie prohlížení nebo konvenčních sledovacích souborů.
Zvuk není jediným prvkem používaným k vytvoření této identifikace. Analyzované skripty také shromažďují informace o hardwarových charakteristikách, grafice WebGL, rozlišení obrazovky, dostupné paměti RAM, nainstalovaných pluginech a dokonce i o chování uživatele pomocí myši a kolečka. Všechna tato data jsou kombinována a zašifrována a odesílána na telemetrické servery společnosti Alibaba, mateřské společnosti AliExpress.
Nedostatek transparentnosti, hlavní problém
Nejznepokojivějším aspektem tohoto zjištění není ani tak samotná technika, ale spíše nedostatečná transparentnost AliExpressu. Uživatelé nedostávají žádné konkrétní upozornění, že se během prohlížení webu generuje digitální otisk jejich zařízení. Ani platforma, ani její mateřská společnost Alibaba nevydaly oficiální prohlášení, které by vysvětlovalo použití této technologie, která vyvolala kritiku ze strany obhájců soukromí.
Tento typ snímání otisků prstů může mít legitimní využití, jako je odhalování podvodů, prevence falešných účtů nebo kontrola zneužívání propagačních kupónů. Skutečnost, že se provádí tiše a bez výslovného souhlasu, však vyvolává vážné obavy ohledně dodržování předpisů na ochranu osobních údajů, zejména v evropském kontextu, kde obecné nařízení o ochraně osobních údajů (GDPR) vyžaduje transparentnost při zpracování osobních údajů.
Vyšetřování také odhalilo, že toto chování nebylo zcela nové. Otevřený tiket na Bugzille, systému pro správu incidentů od Mozilly, již přibližně dva roky dokumentoval, že AliExpress udržoval zvukové zařízení aktivní a bránil systému Windows v automatickém pozastavení. To naznačuje, že tato praxe mohla být zavedena déle, než se původně myslelo.
Brave a Firefox se již proti tomuto sledování ochránily.
V reakci na tuto situaci již některé prohlížeče podnikly kroky. Brave oznámil, že jeho prohlížeč konkrétně blokuje identifikované skripty AliExpress a vkládá do zvukového výstupu náhodná data, aby zabránil sledování, což je opatření, které standardně implementuje již více než šest let. Firefox tuto techniku neutralizuje od verze 118, vydané v září 2023, a to díky vlastním matematickým knihovnám pro zpracování zvuku, které snižují množství užitečných informací, které lze ze zařízení extrahovat, téměř na nulu.
Pro uživatele, kteří chtějí posílit své soukromí, existuje také možnost použití rozšíření, jako je uBlock Origin, které přidává vlastní pravidla filtrování pro cesty collina.js a fireyejs.js v doméně assets.aliexpress-media.com. Odborníci však varují, že neexistuje zcela jednoduchý způsob, jak zablokovat všechny metody identifikace používané online, protože tyto techniky se spoléhají na kombinaci mnoha malých technických detailů zařízení.
Případ AliExpress slouží jako připomínka toho, že online sledování se vyvinulo daleko za hranice souborů cookie. Společnosti neustále hledají nové způsoby identifikace uživatelů a mnoho z nich působí v právní šedé zóně. Vzhledem k tomu, že evropské orgány zintenzivňují dohled nad postupy shromažďování údajů, spotřebitelé by si měli být vědomi toho, že jejich digitální stopa sahá daleko za to, co píší nebo nakupují online.
Kontroverze se vyostřuje a AliExpress zatím nenabídl žádné vysvětlení. Jasné je, že online soukromí zůstává bojištěm, kde uživatelé mají stále menší kontrolu nad svými vlastními informacemi. Doporučení odborníků je mezitím jasné: udržujte prohlížeče aktuální, používejte nástroje pro blokování sledování a uvědomte si, že na internetu není nic zdarma ani neviditelné.
