Verkkokauppa-alusta AliExpress on kiistan keskipisteessä sen jälkeen, kun kehittäjä paljasti epätavanomaisen seurantatekniikan. Tutkimuksen mukaan verkkosivusto tuottaa selaimesta kuulumattomia äänisignaaleja kävijöiden laitteiden tunnistamiseksi. Menetelmä on herättänyt huolta digitaalisen yksityisyyden asiantuntijoiden keskuudessa. Löydös, josta useat erikoistuneet mediat ovat jo raportoineet, korostaa sitä, kuinka suuret alustat etsivät uusia tapoja seurata käyttäjiä perinteisten evästeiden lisäksi.
Kaikki alkoi, kun kehittäjä Matt Callaghan huomasi Bluetooth-kuulokkeidensa lopettavan musiikin toistamisen puhelimesta aina, kun hänen tietokoneellaan oli AliExpress-välilehti auki. Sivun sulkeminen ratkaisi ongelman välittömästi. Uteliaana Callaghan päätti analysoida verkkosivuston koodia ja havaitsi, että alusta piti äänenkäsittelyjärjestelmän käynnissä taustalla, vaikka mediaa ei toistettu. Hän dokumentoi havaintonsa henkilökohtaisessa blogissaan, ja niistä tuli nopeasti keskustelunaihe teknologiayhteisössä.
Näin AliExpressin käyttämä äänisormenjälki toimii
AliExpressin käyttämä tekniikka perustuu selaimen Web Audio -teknologiaan. Tästä vastaavat skriptit, collina.js ja fireyejs.js, luovat oskillaattorin, joka tuottaa saha-aallon muotoisen ääniaallon. Tämä signaali lähetetään AnalyserNode- ja ScriptProcessorNode-solmujen läpi ennen kuin se saavuttaa nollaäänisolmun. Tällä tavoin ääni on täysin äänetön käyttäjälle, mutta selain käsittelee sitä aktiivisesti koko ajan.
Tämän prosessin tavoitteena on mitata laitteen signaalinkäsittelyssä esiintyviä hienovaraisia eroja. Jokainen tietokone, käyttöjärjestelmä, selain tai äänikirjasto käsittelee aaltomuodon hieman eri tavalla, ja näistä vaihteluista muodostuu eräänlainen ainutlaatuinen sormenjälki. Tämä sormenjälkitunnistuksena tunnettu tekniikka mahdollistaa laitteen tunnistamisen ilman evästeitä, mikä vaikeuttaa käyttäjän tunnistautumisen välttämistä poistamalla selaushistoriansa tai perinteisiä seurantatiedostoja.
Ääni ei ole ainoa elementti, jota käytetään tämän tunnistuksen rakentamiseen. Analysoidut skriptit keräävät myös tietoa laitteiston ominaisuuksista, WebGL-grafiikasta, näytön resoluutiosta, käytettävissä olevasta RAM-muistista, asennetuista laajennuksista ja jopa käyttäjän toiminnasta hiiren ja vierityspyörän kanssa. Kaikki nämä tiedot yhdistetään ja lähetetään salattuina Alibaban, AliExpressin emoyhtiön, telemetriapalvelimille.
Läpinäkyvyyden puute, suurin ongelma
Huolestuttavinta tässä löydöksessä ei ole niinkään itse tekniikka, vaan AliExpressin läpinäkyvyyden puute. Käyttäjät eivät saa erityistä ilmoitusta siitä, että heidän laitteensa digitaalinen sormenjälki luodaan heidän selatessaan verkkoa. Alusta tai sen emoyhtiö Alibaba eivät ole antaneet virallista lausuntoa, jossa selitettäisiin tämän teknologian käyttöä, mikä on herättänyt kritiikkiä yksityisyyden puolustajilta.
Tämän tyyppisellä sormenjälkien otolla voi olla laillisia sovelluksia, kuten petosten havaitseminen, väärennettyjen tilien estäminen tai tarjouskuponkien väärinkäytön hallinta. Se, että se suoritetaan hiljaa ja ilman nimenomaista suostumusta, herättää kuitenkin vakavia huolenaiheita tietosuojasäännösten noudattamisesta, erityisesti eurooppalaisessa kontekstissa, jossa yleinen tietosuoja-asetus (GDPR) edellyttää läpinäkyvyyttä henkilötietojen käsittelyssä.
Tutkimus paljasti myös, että tämä käytäntö ei ollut täysin uusi. Bugzillan, Mozillan tapaustenhallintajärjestelmän, avoin tukipyyntö oli jo noin kahden vuoden ajan dokumentoinut, että AliExpress piti äänilaitteen aktiivisena ja esti Windowsia automaattisesti keskeyttämästä toimintaansa. Tämä viittaa siihen, että käytäntö on saattanut olla käytössä pidempään kuin alun perin luultiin.
Brave ja Firefox ovat jo suojautuneet tältä seurannalta.
Vastauksena tähän tilanteeseen jotkut selaimet ovat jo ryhtyneet toimiin. Brave ilmoitti, että sen selain estää erityisesti tunnistetut AliExpress-skriptit ja lisää satunnaisia tietoja äänilähtöön seurannan estämiseksi. Tämä toimenpide on ollut käytössä oletuksena yli kuuden vuoden ajan. Firefox puolestaan on neutraloinut tämän tekniikan syyskuussa 2023 julkaistusta versiosta 118 lähtien omien matemaattisten äänenkäsittelykirjastojensa ansiosta, jotka vähentävät laitteesta poimittavan hyödyllisen tiedon määrän lähes nollaan.
Käyttäjille, jotka haluavat vahvistaa yksityisyyttään, on myös mahdollisuus käyttää laajennuksia, kuten uBlock Originia, lisäämällä mukautettuja suodatussääntöjä collina.js- ja fireyejs.js-poluille assets.aliexpress-media.com-verkkotunnuksen alla. Asiantuntijat kuitenkin varoittavat, ettei ole olemassa täysin yksinkertaista tapaa estää kaikkia verkossa käytettyjä tunnistusmenetelmiä, koska nämä tekniikat perustuvat laitteen lukuisten pienten teknisten yksityiskohtien yhdistämiseen.
AliExpressin tapaus muistuttaa siitä, että verkkoseuranta on kehittynyt paljon evästeitä pidemmälle. Yritykset etsivät jatkuvasti uusia tapoja tunnistaa käyttäjiä, ja monet toimivat lain harmaalla alueella. Euroopan viranomaisten tehostaessa tiedonkeruukäytäntöjen valvontaansa kuluttajien tulisi olla tietoisia siitä, että heidän digitaalinen jalanjälkensä ulottuu paljon pidemmälle kuin mitä he kirjoittavat tai ostavat verkossa.
Kiista on kytemässä, eikä AliExpress ole toistaiseksi tarjonnut selitystä. Selvää on, että verkkoyksityisyys on edelleen taistelukenttä, jossa käyttäjillä on yhä vähemmän määräysvaltaa omiin tietoihinsa. Samaan aikaan asiantuntijoiden suositus on selkeä: pidä selaimet ajan tasalla, käytä seurannanestotyökaluja ja ole tietoinen siitä, että internetissä mikään ei ole ilmaista tai näkymätöntä.
