Ang e-commerce platform na AliExpress ay nasa sentro ng isang kontrobersiya matapos matuklasan ng isang developer ang isang hindi pangkaraniwang pamamaraan ng pagsubaybay. Ayon sa pananaliksik, ang website ay bumubuo ng mga hindi marinig na audio signal mula sa browser upang matukoy ang mga device ng mga bisita, isang pamamaraan na nagdulot ng mga alalahanin sa mga eksperto sa digital privacy. Ang natuklasan, na naiulat na ng ilang espesyalisadong outlet ng media, ay nagpapakita kung paano naghahanap ang malalaking platform ng mga bagong paraan upang subaybayan ang mga user na higit pa sa tradisyonal na cookies.
Nagsimula ang lahat nang mapansin ng developer na si Matt Callaghan na ang kanyang Bluetooth headphones ay humihinto sa pagpapatugtog ng musika mula sa kanyang telepono tuwing may nakabukas siyang AliExpress tab sa kanyang computer. Agad na nalutas ang isyu nang isara ang pahina. Dahil sa pagka-interesado, nagpasya si Callaghan na suriin ang code ng website at natuklasan na ang platform ay nagpapanatili ng isang audio processing system na tumatakbo sa background, kahit na walang media na pinapatugtog. Idinokumento niya ang kanyang mga natuklasan sa kanyang personal na blog, at mabilis itong naging paksa ng talakayan sa loob ng komunidad ng teknolohiya.
Ganito gumagana ang audio fingerprint na ginagamit ng AliExpress
Ang pamamaraang ginagamit ng AliExpress ay batay sa teknolohiya ng browser Web Audio. Ang mga script na responsable, na kinilala bilang collina.js at fireyejs.js, ay lumilikha ng isang oscillator na bumubuo ng sawtooth sound wave. Ang signal na ito ay ipinapadala sa pamamagitan ng isang AnalyserNode at isang ScriptProcessorNode bago maabot ang isang GainNode na nakatakda sa zero volume. Sa ganitong paraan, ang tunog ay ganap na hindi maririnig ng gumagamit, ngunit aktibong pinoproseso ito ng browser sa lahat ng oras.
Ang layunin ng prosesong ito ay sukatin ang mga banayad na pagkakaiba sa pagproseso ng signal na nangyayari depende sa device. Ang bawat computer, operating system, browser, o audio library ay bahagyang nagpoproseso ng waveform nang iba, at ang mga pagkakaiba-iba na ito ay nagiging isang uri ng natatanging fingerprint. Ang pamamaraang ito, na kilala bilang fingerprinting, ay nagbibigay-daan sa isang device na makilala nang hindi umaasa sa cookies, na nagpapahirap sa user na maiwasan ang pagkilala sa pamamagitan ng pagbura ng kanilang kasaysayan sa pag-browse o mga kumbensyonal na tracking file.
Hindi lamang audio ang elementong ginagamit upang mabuo ang pagkakakilanlang ito. Nangongolekta rin ang mga sinuring script ng impormasyon tungkol sa mga katangian ng hardware, WebGL graphics, resolution ng screen, magagamit na RAM, mga naka-install na plugin, at maging ang pag-uugali ng user gamit ang mouse at scroll wheel. Ang lahat ng data na ito ay pinagsama-sama at ipinapadala nang naka-encrypt sa mga telemetry server ng Alibaba, ang kumpanyang magulang ng AliExpress.
Ang kawalan ng transparency, ang pangunahing problema
Ang pinakanakababahalang aspeto ng natuklasang ito ay hindi ang mismong pamamaraan, kundi ang kawalan ng transparency ng AliExpress. Walang natatanggap na tiyak na abiso ang mga gumagamit na may nabubuong digital fingerprint ng kanilang device habang nagba-browse sila sa web. Hindi naglabas ng opisyal na pahayag ang platform o ang kumpanyang pinagmulan nito, ang Alibaba, na nagpapaliwanag sa paggamit ng teknolohiyang ito, na umani ng kritisismo mula sa mga tagapagtaguyod ng privacy.
Ang ganitong uri ng fingerprinting ay maaaring may mga lehitimong aplikasyon, tulad ng pagtuklas ng pandaraya, pagpigil sa mga pekeng account, o pagkontrol sa maling paggamit ng mga promotional coupon. Gayunpaman, ang katotohanan na ito ay isinasagawa nang tahimik at walang tahasang pahintulot ay nagdudulot ng malubhang alalahanin tungkol sa pagsunod sa mga regulasyon sa proteksyon ng data, lalo na sa konteksto ng Europa kung saan ang General Data Protection Regulation (GDPR) ay nangangailangan ng transparency sa pagproseso ng personal na impormasyon.
Isiniwalat din ng imbestigasyon na ang ganitong pag-uugali ay hindi naman ganap na bago. Isang bukas na tiket sa Bugzilla, ang sistema ng pamamahala ng insidente ng Mozilla, ang nakapagdokumento na sa loob ng humigit-kumulang dalawang taon na pinapanatiling aktibo ng AliExpress ang audio device at pinipigilan ang Windows na awtomatikong magsuspinde. Ipinahihiwatig nito na ang kasanayan ay maaaring mas matagal nang ipinapatupad kaysa sa unang inaakala.
Pinrotektahan na ng Brave at Firefox ang kanilang mga sarili laban sa pagsubaybay na ito.
Bilang tugon sa sitwasyong ito, kumilos na ang ilang browser. Inanunsyo ng Brave na partikular na hinaharangan ng browser nito ang mga natukoy na script ng AliExpress at inilalagay ang mga random na data sa audio output upang hadlangan ang pagsubaybay, isang hakbang na ipinatupad nito bilang default sa loob ng mahigit anim na taon. Sa bahagi naman ng Firefox, na-neutralize na ang pamamaraang ito simula noong bersyon 118, na inilabas noong Setyembre 2023, salamat sa sarili nitong mga mathematical audio processing library na halos nagbabawas sa dami ng kapaki-pakinabang na impormasyon na maaaring makuha mula sa device.
Para sa mga user na gustong palakasin ang kanilang privacy, mayroon ding opsyon na gumamit ng mga extension tulad ng uBlock Origin, na nagdaragdag ng mga custom filter rule para sa mga collina.js at fireyejs.js path sa ilalim ng assets.aliexpress-media.com domain. Gayunpaman, nagbabala ang mga eksperto na walang ganap na simpleng paraan upang harangan ang lahat ng paraan ng pagkakakilanlan na ginagamit online, dahil ang mga pamamaraang ito ay umaasa sa pagsasama-sama ng maraming maliliit na teknikal na detalye ng device.
Ang kaso ng AliExpress ay nagsisilbing paalala na ang online tracking ay umunlad nang higit pa sa cookies. Ang mga kumpanya ay patuloy na naghahanap ng mga bagong paraan upang matukoy ang mga gumagamit, at marami ang nagpapatakbo sa isang legal na kulay abo na lugar. Habang pinapalakas ng mga awtoridad sa Europa ang kanilang pangangasiwa sa mga kasanayan sa pagkolekta ng data, dapat malaman ng mga mamimili na ang kanilang digital footprint ay higit pa sa kanilang tina-type o binibili online.
Namumuo ang kontrobersiya, at sa ngayon, wala pang ibinigay na paliwanag ang AliExpress. Ang malinaw ay nananatiling isang labanan ang online privacy kung saan ang mga gumagamit ay lalong nawawalan ng kontrol sa kanilang sariling impormasyon. Samantala, malinaw ang rekomendasyon ng mga eksperto: panatilihing updated ang mga browser, gumamit ng mga tool sa pag-block ng tracking, at magkaroon ng kamalayan na, sa internet, walang libre o hindi nakikita.
