Uma investigação do site Tom's Hardware encontrou no AliExpress um mecanismo que aparentemente usa o sistema de áudio do navegador para coletar informações sobre o dispositivo do usuário.
O caso veio à tona depois que o desenvolvedor Matt Callaghan percebeu que abrir o site interferia no funcionamento de seus fones de ouvido Bluetooth.
Segundo o relato publicado por Callaghan e reproduzido pelo Tom's Hardware, o recurso multiponto de seus fones parou de funcionar normalmente ao carregar a página inicial do AliExpress no Firefox ou no Chrome.
O áudio do celular deixava de tocar mesmo sem nenhuma reprodução ativa no computador. Fechar a aba resolvia o problema, enquanto silenciar a aba, o navegador ou o próprio Windows não tinha efeito.
O que a investigação encontrou
Callaghan notou que a falha só aparecia depois de a página ficar aberta e ociosa por alguns segundos. A partir disso, ele passou a monitorar a Web Audio API, recurso do navegador usado para gerar e processar sinais de áudio, para identificar o que estava sendo executado em segundo plano.
A apuração identificou dois scripts, chamados “collina.js” e “fireyejs.js”, associados a ferramentas de segurança e antiabuso da Alibaba. Segundo a análise, os scripts criam um grafo de áudio com um oscilador do tipo dente de serra e usam um analisador para medir como esse sinal é processado pelo navegador. Outro trecho de código lê os dados de frequência resultantes.
O ganho de volume é definido como zero, o que significa que não há som audível durante o processo. Mesmo assim, o navegador continua processando o áudio internamente, o que mantém o canal Bluetooth ativo e impede a troca automática entre dispositivos no recurso multiponto.
A investigação também encontrou coleta de outros dados no mesmo conjunto de scripts, como dimensões de tela, memória do dispositivo, plugins instalados, informações de renderização via WebGL, formatos de áudio e vídeo suportados, desempenho do navegador e eventos de mouse. Esses dados seriam serializados, criptografados e enviados aos servidores de telemetria da Alibaba por meio das funções “fetch()” ou “sendBeacon()”, de acordo com o levantamento.
O Tom's Hardware trata o caso como uma alegação baseada na investigação técnica de Callaghan, sem confirmação da Alibaba sobre a finalidade do mecanismo.
:quality(85)/5177058d-5e64-418c-a2ed-9a7f9dc0c75a.png "Editar informações da imagem")
O que é browser fingerprinting
Fingerprinting, ou impressão digital do navegador, é uma técnica que reúne diversas características de um dispositivo e do software usado para acessá-lo com o objetivo de reconhecê-lo em visitas futuras.
A Electronic Frontier Foundation (EFF), organização que mantém o projeto Cover Your Tracks, explica que essas características incluem fuso horário, resolução de tela, fontes instaladas, versão do navegador e configurações de hardware.
Diferentemente dos cookies, que podem ser apagados pelo usuário, o fingerprint combina traços mais difíceis de alterar. Isolada, cada característica costuma dizer pouco. Combinadas, porém, podem formar um conjunto suficientemente específico para diferenciar um navegador entre milhares de outros.
Como o áudio entra nesse processo
O chamado AudioContext fingerprint está entre as características listadas pela própria EFF como parte do conjunto usado para compor uma “impressão digital de navegador”.
A ideia é que pequenas variações na forma como cada combinação de hardware, sistema operacional e navegador processa um sinal de áudio gerado internamente podem produzir resultados levemente diferentes entre dispositivos.
Um estudo publicado em 2019 na revista The Computer Journal, da Oxford Academic, já havia demonstrado esse princípio. Pesquisadores da Universidade Federal do Amazonas usaram a Web Audio API para identificar a classe de um dispositivo a partir de características como tipo de hardware, versão do navegador e motor de renderização.
Uma pesquisa mais recente, publicada como preprint no arXiv, mediu a eficácia real da técnica em cerca de dois mil usuários. O resultado mostrou que o audio fingerprinting sozinho gera poucas variações distintas em comparação com outros métodos de fingerprinting, mas pode agregar valor quando combinado a outras características do navegador.
:quality(85)/c621a117-9076-4b4b-99ff-3901094882c0.png "Editar informações da imagem")
Uma peça entre várias
O caso do AliExpress evidencia que é possível extrair características do processamento de áudio de um navegador sem qualquer som perceptível ao usuário, e sem acesso ao microfone ou gravação do que está sendo reproduzido.
Não há indício, nas fontes apuradas, de que o mecanismo capture conversas, identifique o usuário pelo nome ou colete dados pessoais diretos como CPF ou endereço.
O que a investigação de Callaghan documenta é a geração de um sinal de áudio inaudível processado internamente pelo navegador. O código também coleta e envia aos servidores da Alibaba uma série de características técnicas do dispositivo, que podem ser usadas para compor um fingerprint.
Após a repercussão do caso, a Mozilla afirmou nas redes sociais que o Firefox já conta com proteções nativas contra fingerprinting, citando reforços contra técnicas baseadas em Web Audio introduzidos na versão 118 do navegador, lançada em setembro de 2023.
O Brave também afirma bloquear esse tipo de rastreamento por padrão, injetando dados aleatórios na saída de áudio do navegador e reiniciando essa aleatoriedade a cada nova sessão.
Veja no Canaltech como funciona a nova marca d´água "invisível" que a Anthropic começou a inserir em textos feitos pelo Claude.
{{WHATSAPP_CHANNEL}}