AliExpress, tarayıcıya ‘duyulmayan’ ses yollayıp parmak izi çıkardı.

AliExpress’in, tarayıcıya duyulmayan ses sinyalleri gönderip WebAudio ölçümleri alarak ziyaretçileri ayırt etmeye yarayan bir yöntem kullandığı ortaya çıktı. Eski bir “tarayıcı parmak izi” tekniği olan bu yaklaşım, bir güvenlik araştırmacısının Bluetooth kulaklığını beklenmedik biçimde etkileyince açığa çıktı. Bulgular, ana sayfa yüklendiğinde tarayıcıda çalışan gizlenmiş kodların ses üretip ölçüm aldığını gösteriyor.

Nasıl ortaya çıktı

Araştırmacı Matthew Callaghan, olayı tesadüfen fark etti. Çoklu bağlantı (multipoint) destekli kulaklığını, bilgisayarında ses çalmadığı sürece telefonundan müzik dinleyecek şekilde ayarlamıştı. AliExpress ana sayfasını her açtığında telefonundaki müzik, bilgisayardan ses çıkışı varmış gibi algılanarak anında kesildi. Sekmeyi kapattığında ise müzik yeniden duyulur hale geldi.

Kodda ne bulundu

Callaghan, tarayıcı araçlarıyla yaptığı incelemede iki adet yoğun biçimde gizlenmiş betik tespit etti. Bu betikler, ziyaretçi tarayıcısının WebAudio okumalarını analiz eden bir grafik oluşturuyordu. Grafik, bir osilatör gibi davranıp test dalgaları üretip ölçüm yapıyordu. Ölçtüğü dalga türü, dijital ses çıkışlarında test amaçlı yaygın kullanılan testere dişi dalgaydı. Kullanıcı bu sesi duymuyor; ancak tarayıcı, ses altyapısından aldığı sayısal okumaları işleyebiliyor.

Tarayıcı parmak izi ve WebAudio yöntemi

Tarayıcı parmak izi, çerez kullanılmasa bile bir ziyaretçinin tarayıcı ve cihaz özelliklerinden ayırt edici bir profil çıkarma tekniğidir. WebAudio yaklaşımı, tarayıcıda duyulamayan bir ses dalgasını işleyip çıkan sayısal farkları ölçmeye dayanır. Bu teknik, bugün “eskimiş” kabul edilse de Callaghan’ın bulguları pratikte hâlâ başvurulabildiğini gösteriyor.

Ne kanıtlıyor, ne kanıtlamıyor

• Kanıtlıyor: AliExpress ana sayfası yüklendiğinde, tarayıcıda WebAudio tabanlı bir osilatör çalıştıran ve ölçüm alan betikler çağrılıyor.

• Kanıtlıyor: Bu süreç, insan kulağının duymadığı bir ses işleme/ölçüm akışını tetikliyor.

• Kanıtlıyor: Callaghan’ın kulaklığı, bilgisayardan ses çıkışı varmış gibi davranarak telefon sesini kesti; sekme kapanınca normale döndü.

• Kanıtlıyor: Betikler ağır biçimde gizlenmiş durumda.

• Kanıtlamıyor: Elde edilen verilerin kalıcı bir kimliğe dönüştürülüp dönüştürülmediği ve ne kadar süre saklandığı bilinmiyor.

• Kanıtlamıyor: Ölçümün tüm ziyaretçilere mi, belirli bir gruba mı uygulandığı net değil; ayrıca bu uygulamanın hâlen sürüp sürmediği doğrulanmış değil.

Yöntem künyesi

• Özne: Güvenlik araştırmacısı Matthew Callaghan.

• Gözlem: AliExpress ana sayfası açıldığında telefon müziğinin kesilmesi, sekme kapanınca geri gelmesi; tekrar eden denemelerle tutarlı davranış.

• Teknik inceleme: Tarayıcıda iki gizlenmiş betiğin bulunması; betiklerin WebAudio okumalarını grafikle analiz edip osilatör gibi ölçüm yapması.