Типичный Сисадмин

😮 Аудио-шпионаж на минималках. Как AliExpress физически ломает Bluetooth-наушники Сегодня у нас потрясающий пример того, как агрессивный корпоративный трекинг выходит из браузера в реальный мир и ломает работу физического железа. Один разраб столкнулся с бесячим багом... его блютус-наушники с поддержкой мультипоинта перестали нормально переключаться между ПК и телефоном. Выяснилась странная закономерность - наушники залипали на ПК, если в браузере была открыта вкладка AliExpress. Даже если на сайте не играло ни одно видео, а вкладка была замьючена. Разраб залез в девтулсы и начал искать спрятанные теги <audio> и <video>. Ничего. Тогда он написал скрипт для перехвата вызовов AudioContext и поймал китайцев за руку. Как только вы открываете Алик, загружаются два обфусцированных скрипта от систем антифрода Alibaba (collina.js и fireyejs.js). Эти скрипты в фоне юзают WebAudio API: 🟢 Запускают осциллятор... генератор звуковой волны. 🟢 Пропускают волну через AnalyserNode для чтения частот. 🟢 Ставят громкость в ноль через параметр GainNode. 🟢 Подключают всё это дело напрямую к системному аудиовыходу. А это уже классический аудио-фингерпринтинг. Скрипт генерирует звук и смотрит, как именно математически его обработал ЦП и аудиостек. Из-за микроскопических архитектурных различий в железе, версиях ОС и драйверах, итоговая волна у каждого ПК получается уникальной. Соединяем это с данными о видюхе, разрешении экрана и шрифтах... и получаем ID пользовательского устройства, которому по-барабану на сброс куков или вход через инкогнито. Но случился аппаратный факап... наушники зависали именно потому, что браузер физически открывал аудио-поток в ОС (хоть и с нулевой громкостью), и винда справедливо держала блютус-канал активным, думая, что юзер слушает музыку 🎧 Если кто сидел через Хром, то его уже посчитали. Браузеры Firefox (с защитой от фингерпринтинга) и Brave блокируют этот мусор. Современный веб дошел до стадии, когда маркетплейсы втайне от вас играют беззвучную музыку прямо вам в мозг, чтобы продать чехол для телефона 👨‍🔬 Типичный 🥸 Сисадмин