Milyonlarca kullanıcının alışveriş yaptığı Çin merkezli e-ticaret platformu AliExpress hakkında dikkat çeken bir iddia ortaya atıldı. Yapılan teknik incelemelerde, platformun internet sitesinde kullanıcıların duyamayacağı şekilde çalışan Web Audio API tabanlı işlemler tespit edildi. Söz konusu sistemin, cihazlara özgü bazı teknik verileri analiz ederek tarayıcı parmak izi oluşturmaya yardımcı olabildiği belirtildi.
Olay, bir yazılım geliştiricisinin Bluetooth multipoint kulaklığında yaşadığı sıra dışı sorunla gündeme geldi. Geliştiricinin aktardığına göre, bilgisayarında AliExpress sekmesi açıkken kulaklığın telefon ile bilgisayar arasında otomatik ses geçişi yapması engellendi. Sekme kapatıldığında ise sorunun ortadan kalktığı bildirildi. Yapılan incelemeler, sayfada duyulabilir bir ses olmamasına rağmen arka planda aktif ses işleme zincirleri çalıştığını ortaya koydu.
AliExpress'te gizli ses işlemi nasıl ortaya çıktı?
İddiaların merkezindeki keşif, geliştiricinin Bluetooth kulaklığında yaşadığı bağlantı problemiyle başladı. Çoklu cihaz bağlantısını destekleyen kulaklığın, AliExpress sekmesi açık olduğunda telefondaki ses oynatımına geçiş yapmadığı fark edildi.
Sorunun kaynağını araştıran geliştirici, AliExpress sayfasında klasik bir ses veya video oynatıcı bulunmadığını belirledi. İnceleme sırasında Web Audio API üzerinden oluşturulan iki ayrı AudioContext tespit edildi. Bu işlemlerin, ses duyulmasa dahi tarayıcının ses işleme altyapısını arka planda aktif tuttuğu ifade edildi.
Teknik analize göre ses sinyali, bir osilatör tarafından oluşturuluyor, çeşitli analiz işlemlerinden geçiriliyor ve son aşamada ses seviyesi sıfıra ayarlanıyor. Böylece kullanıcı herhangi bir ses duymuyor ancak tarayıcıdaki ses işleme süreci çalışmaya devam ediyor. Bu durum, özellikle Bluetooth multipoint özelliğine sahip kulaklıklarda ses kanalının aktif görünmesine neden olabiliyor.
Sıfır ses seviyesinde cihaz verileri analiz ediliyor
Web Audio tabanlı parmak izi oluşturma yönteminde, cihazın aynı ses sinyalini işlerken ortaya çıkardığı küçük teknik farklılıklar incelenebiliyor. İşlemci, ses donanımı, işletim sistemi, tarayıcı ve sürücülerin çalışma biçiminden kaynaklanan bu farklılıklar, diğer cihaz verileriyle birlikte analiz edilebiliyor.
İncelenen kodlarda ses verilerinin yanı sıra Canvas, WebGL, ekran çözünürlüğü, cihaz belleği, işlemci çekirdeği bilgileri ve çeşitli tarayıcı özellikleri gibi verilerin de değerlendirilmesine yönelik işlemler bulunduğu aktarıldı.
Bu teknik verilerin bir araya getirilmesiyle, cihaz veya tarayıcı için benzersiz ya da ayırt edici bir dijital profil oluşturulabiliyor. Bu yöntemin çerez tabanlı takibin dışında bir tanıma yöntemi sunduğu belirtiliyor. Ancak kamuya açık teknik incelemeler, elde edilen verilerin şirketin sunucularında tam olarak nasıl kullanıldığını kesin olarak ortaya koymuş değil.
Gizlilik tartışması yeniden alevlendi
Dijital parmak izi teknolojileri, büyük internet platformlarında dolandırıcılık, bot faaliyetleri ve sahte hesapların tespiti gibi amaçlarla kullanılabiliyor. Buna rağmen, kullanıcının açık bir işlem yapmadan veya duyulabilir bir sesle karşılaşmadan cihaz verilerinin analiz edilmesi, internet gizliliği tartışmalarını yeniden gündeme taşıdı.
Uzmanlar, özellikle tarayıcı parmak izi yöntemlerinin kullanıcıların çerezleri temizlemesi veya klasik takip engelleyicilerini kullanması durumunda da bazı tanımlayıcı sinyaller sağlayabildiğine dikkat çekiyor.
AliExpress vakası, aynı zamanda internet tarayıcılarında ses işleme teknolojilerinin görünmeyen şekilde kullanılabilmesine yönelik tartışmaları da beraberinde getirdi. Sekmenin veya sistem sesinin kapatılmasına rağmen işlemin arka planda devam edebilmesi, kullanıcıların bu tür faaliyetleri fark etmesini zorlaştırıyor. Olayın, büyük e-ticaret platformlarının kullanıcı verilerini hangi yöntemlerle topladığına yönelik tartışmaları önümüzdeki günlerde daha da artırması bekleniyor.
