AliExpress’in internet sitesinde kullanıcıların fark etmesinin oldukça zor olduğu bir takip yöntemi ortaya çıktı. Sitenin bazı kodlarının tarayıcıda sessiz ses işlemleri çalıştırdığı ve bu işlemler üzerinden cihazlara özgü bilgiler oluşturulabildiği belirlendi.
Ortaya çıkan yöntem, çerezlerden farklı olarak bilgisayarın ses donanımını ve diğer donanım özelliklerini kullanıyor. Üstelik işlem sırasında kullanıcıların duyabileceği herhangi bir ses oluşmuyor. Bu durum, yöntemin arka planda çalışırken fark edilmesini zorlaştırıyor.
AliExpress’in Takip İçin Neden Ses Sistemi Kullanılıyor?
Olay, bir geliştiricinin çoklu Bluetooth kulaklık kullanırken yaşadığı sorunla fark edildi. Bilgisayarda AliExpress açıkken kulaklık başka bir telefona düzgün şekilde geçiş yapmadı. AliExpress sekmesi kapatıldığında ise sorun ortadan kalktı.
Yapılan incelemede sitenin Web Audio API kullandığı görüldü. Kod, ses seviyesini sıfıra ayarlayan ses işleme grafikleri oluşturuyordu. Böylece kullanıcı herhangi bir ses duymasa da tarayıcının ses sistemi çalışmaya devam ediyordu.
Buradaki önemli nokta, işlemin normal bir medya oynatıcısının çalışmasına benzememesi. Ses seviyesi sıfırlandığı için sekmeyi sessize almak da işlemi durdurmuyordu. Tarayıcı ses sinyalini işlemeye devam ediyor ve bilgisayarın ses altyapısıyla bağlantısını koruyordu. Bu durumun Bluetooth kulaklıkların cihazlar arasında geçiş yapmasını etkilemiş olabileceği değerlendiriliyor.
Kodun sadece ses sistemini aktif tutmakla sınırlı olmadığı belirtiliyor. Aynı yöntem cihaz parmak izi oluşturmak için de kullanılabiliyor. Ses parmak izi olarak bilinen yöntemde tarayıcıya aynı ses sinyali gönderiliyor ve bilgisayarın bu sinyali nasıl işlediği ölçülüyor. İşlemci, ses donanımı, işletim sistemi, tarayıcı ve sürücülerdeki küçük farklılıklar ses sinyalinin işlenme biçimini etkileyebiliyor.
Ortaya çıkan sonuç daha sonra cihazı diğer ziyaretlerden ayırt etmek için kullanılabilecek bir sinyal oluşturabiliyor. Böylece geleneksel çerezlerin bulunmadığı durumlarda bile aynı cihazın yeniden tanınması mümkün olabiliyor.
Daha Fazla Donanım Verisi Birleştirilebiliyor
Ses verileri, oluşturulabilecek cihaz profilinin yalnızca bir bölümünü oluşturuyor. İncelenen kodun canvas oluşturma, WebGL, ekran ayarları, donanım yapılandırması, WebRTC davranışı ve kullanıcı etkileşimleriyle bağlantılı bilgileri de toplama kapasitesine sahip olduğu belirtiliyor.
Bu veriler tek başına kesin bir kimlik oluşturmayabilir. Ama farklı sinyaller bir araya getirildiğinde tarayıcı ve cihazın diğer ziyaretlerden ayırt edilmesi kolaylaşabiliyor. Cihaz parmak izi teknolojisi internet sektöründe tamamen yeni bir yöntem değil. Şirketler bu tür teknikleri dolandırıcılık tespiti, botların belirlenmesi ve şüpheli işlemlerin değerlendirilmesi gibi güvenlik amaçlarıyla kullanabiliyor.
Yorum Yap