AliExpress, der Online-Händler von
Alibaba, soll eine ungewöhnliche Form des Browser-Trackings eingesetzt haben – und das, ohne dass Nutzer davon wussten. Wie Sicherheitsforscher herausfanden, enthielt die Startseite des Onlinehändlers Skripte, die im Hintergrund unhörbare Audiosignale erzeugten und deren Verarbeitung analysierten. Da verschiedene Geräte das Signal jeweils geringfügig anders wiedergeben, lassen sich daraus charakteristische Merkmale ableiten und Nutzer identifizieren, ganz ohne Cookies.
Entdeckt wurde das Vorgehen des Online-Händlers zufällig. Ein Entwickler stellte fest, dass seine Bluetooth-Kopfhörer nicht mehr korrekt zwischen Computer und Smartphone wechselten, solange ein AliExpress-Tab geöffnet war. Ursache waren offenbar über die Web Audio API erzeugte Audio-Prozesse, die trotz einer Lautstärke von null die Audioverbindung des Rechners aktiv hielten. Selbst das Stummschalten des Browser-Tabs beendete diese Prozesse nicht.
Bei den Audiosignalen blieb es jedoch nicht, wie "Techspot"
berichtet. Laut den folgenden Untersuchungen sammelten die Skripte darüber hinaus Informationen über Canvas- und WebGL-Darstellung, Bildschirm- und Hardware-Eigenschaften, WebRTC sowie Nutzerinteraktionen. Aus der Kombination solcher Merkmale lässt sich ein vergleichsweise detaillierter Geräte-Fingerabdruck erstellen.
Der Browseranbieter Brave machte vor wenigen Tagen auf das Verhalten der Seite aufmerksam und erklärte, die betreffenden AliExpress-Skripte zu blockieren. Brave schützt nach eigenen Angaben bereits seit mehreren Jahren vor Audio-Fingerprinting, indem bestimmte Browser-Ausgaben gezielt verändert werden. Inzwischen setzt das Unternehmen ähnliche Mechanismen auch gegen Fingerprinting über Grafikprozessoren ein. Nutzer anderer Browser können entsprechende Skripte beispielsweise über Content-Blocker wie uBlock Origin unterbinden, müssen dabei allerdings mit möglichen Einschränkungen bei Sicherheits- oder Betrugspräventionsfunktionen der Website rechnen.
(sta)
