Сегодня у нас потрясающий пример того, как агрессивный корпоративный трекинг выходит из браузера в реальный мир и ломает работу физического железа.
Один разраб столкнулся с бесячим багом... его блютус-наушники с поддержкой мультипоинта перестали нормально переключаться между ПК и телефоном. Выяснилась странная закономерность - наушники залипали на ПК, если в браузере была открыта вкладка AliExpress. Даже если на сайте не играло ни одно видео, а вкладка была замьючена.
Разраб залез в девтулсы и начал искать спрятанные теги
<audio> и <video>. Ничего. Тогда он написал скрипт для перехвата вызовов AudioContext и поймал китайцев за руку. Как только вы открываете Алик, загружаются два обфусцированных скрипта от систем антифрода Alibaba (
collina.js и fireyejs.js). Эти скрипты в фоне юзают WebAudio API:
🟢 Запускают осциллятор... генератор звуковой волны.
🟢 Пропускают волну через
AnalyserNode для чтения частот.🟢 Ставят громкость в ноль через параметр
GainNode.🟢 Подключают всё это дело напрямую к системному аудиовыходу.
А это уже классический аудио-фингерпринтинг. Скрипт генерирует звук и смотрит, как именно математически его обработал ЦП и аудиостек. Из-за микроскопических архитектурных различий в железе, версиях ОС и драйверах, итоговая волна у каждого ПК получается уникальной. Соединяем это с данными о видюхе, разрешении экрана и шрифтах... и получаем ID пользовательского устройства, которому по-барабану на сброс куков или вход через инкогнито.
Но случился аппаратный факап... наушники зависали именно потому, что браузер физически открывал аудио-поток в ОС (хоть и с нулевой громкостью), и винда справедливо держала блютус-канал активным, думая, что юзер слушает музыку 🎧
Если кто сидел через Хром, то его уже посчитали. Браузеры Firefox (с защитой от фингерпринтинга) и Brave блокируют этот мусор.
Современный веб дошел до стадии, когда маркетплейсы втайне от вас играют беззвучную музыку прямо вам в мозг, чтобы продать чехол для телефона 👨🔬
Типичный 🥸 Сисадмин