AliExpress ha utilizzato una tecnica di fingerprinting audio per distinguere i visitatori del proprio sito attraverso segnali non udibili elaborati dal browser. Il meccanismo è emerso quando il ricercatore Matthew Callaghan ha riscontrato un comportamento anomalo nelle sue cuffie Bluetooth multipoint: ogni volta che caricava la homepage del marketplace, la riproduzione proveniente dallo smartphone si interrompeva, per poi riprendere alla chiusura della scheda.
Le cuffie erano configurate per riprodurre l’audio del telefono, salvo dare precedenza al computer quando quest’ultimo produceva un segnale. La ripetitività dell’interruzione ha quindi suggerito che la pagina stesse attivando il sistema audio del PC, pur senza emettere alcun suono percepibile. Analizzando il sito, Callaghan ha individuato due script fortemente offuscati che, lavorando insieme, costruivano un grafico destinato a esaminare le letture WebAudio generate dal browser.
Il grafico funzionava come un oscillatore e misurava onde Sawtooth, tipiche dell’audio digitale. L’oscillatore produceva una forma d’onda nota, mentre un analizzatore ne rilevava il risultato dopo il passaggio attraverso l’implementazione audio del browser. Lo script leggeva poi i dati relativi alle frequenze. Il guadagno veniva impostato a zero, rendendo il segnale inudibile, ma il collegamento con l’uscita audio selezionata restava attivo: il browser continuava così a elaborare le informazioni e a trasmetterle ad AliExpress.
La tecnica sfrutta le differenze che possono emergere quando librerie matematiche, processori e configurazioni di sistema elaborano lo stesso segnale. In passato, la variabilità tra questi componenti permetteva di ottenere un numero molto elevato di firme potenzialmente uniche. Il cosiddetto audio soundprinting poteva quindi contribuire a riconoscere un dispositivo anche senza affidarsi esclusivamente ai cookie, combinando il risultato con altri parametri tecnici raccolti durante la navigazione.
Le contromisure introdotte dai browser hanno però ridotto l’efficacia del metodo. A partire da Firefox 118, distribuito nel 2023, Mozilla ha adottato librerie matematiche proprie invece di utilizzare quelle fornite dal sistema operativo. Lo sviluppatore Tom Ritter, attivo anche come volontario nel Tor Project, ha spiegato che l’impiego di librerie costanti ha ridotto l’entropia disponibile fino a impedire il funzionamento della tecnica.
Anche su Chrome il metodo risulta inefficace, perché il browser distribuisce le proprie librerie, come indicato da un portavoce di Google. Gli utenti di Safari sarebbero probabilmente protetti per la stessa ragione, sebbene Apple non abbia fornito una conferma immediata. L’uso da parte di AliExpress di uno strumento ormai superato potrebbe essere il residuo di un’implementazione risalente ad anni fa, rimasta nel codice senza essere individuata fino all’esperienza fortuita di Callaghan.
Il segnale audio rappresenta comunque soltanto una parte del sistema osservato. Il ricercatore ha rilevato che il marketplace impiegava più di una dozzina di ulteriori metodi di fingerprinting, la cui efficacia non è ancora chiara. Il quadro descrive una competizione continua tra gli sviluppatori dei browser, impegnati a limitare il tracciamento, e gli editori dei siti, alla ricerca di nuove combinazioni capaci di aggirare le protezioni. La neutralizzazione di una singola tecnica non elimina quindi la possibilità di riconoscere gli utenti attraverso l’insieme delle altre metriche raccolte.