האוזניות הבלוטות' פשוט סירבו לעבור מהמחשב לטלפון. המפתח מאט קלגהן ניסה להבין למה, וגילה שזה קורה רק כשלשונית של עלי אקספרס פתוחה בדפדפן. ברגע שסגר אותה הכול חזר לעבוד. מתחת לתקלה הקטנה הזאת התחבא קוד שמפעיל את מערכת הקול של המחשב בעוצמה אפס, בלי שיישמע צליל אחד, כדי לזהות את המכשיר.

מה קרה

קלגהן חפר בקוד שרץ בעמוד של עלי אקספרס ומצא שהאתר משתמש ב-Web Audio API, הממשק שמאפשר לאתרים לייצר ולעבד קול בתוך הדפדפן. הסקריפט מייצר אות קול, מחבר אותו למערכת השמע של המחשב ומגדיר את העוצמה לאפס. הגולש לא שומע כלום, אבל מבחינת המחשב הקול מתנגן, וזו בדיוק הסיבה שהאוזניות של קלגהן נתקעו באמצע. גם השתקה של הלשונית בדפדפן לא עצרה את זה.

אז למה לטרוח? כי כל מחשב מעבד את אותו אות קול קצת אחרת, בהתאם למעבד, לחומרת הקול, למערכת ההפעלה, לדפדפן ולמנהלי ההתקנים. ההפרשים זעירים אבל עקביים, ומספיק למדוד אותם כדי לקבל מזהה שמבדיל בין מכשיר אחד לאחר. לשיטה הזאת קוראים fingerprinting, טביעת אצבע של המכשיר.

האודיו היה רק חלק אחד מהתמונה. לפי הדיווחים אותם סקריפטים אספו גם מאפיינים של כרטיס המסך, של המסך עצמו ושל התנהגות הדפדפן, וצירוף של מספיק פרטים כאלה מזהה גולש חוזר בלי שנשמר אצלו שום דבר. קלגהן תיאר את הקוד כמעורפל במיוחד. הדיווחים מקשרים אותו למערכות של עליבאבא לזיהוי בוטים ולמניעת הונאות, שימוש לגיטימי בפני עצמו, ועלי אקספרס לא הסבירה עד כה מה בדיוק נאסף ובאיזה היקף. דפדפן Brave הודיע ב-22 באוגוסט שהוא חוסם את הסקריפטים האלה.

למה זה חשוב לכם

עלי אקספרס הוא אחד מאתרי הקניות מחו"ל הפופולריים בישראל, ורבים פותחים אותו כמה פעמים בשבוע. ההבדל בין המנגנון הזה לבין קובץ cookie הוא לא רק טכני: את ה-cookie אפשר למחוק, לחסום או לעקוף בחלון גלישה פרטית, ואילו טביעת אצבע נבנית מהמכשיר עצמו, מהחומרה, ממערכת ההפעלה ומהדפדפן. מחיקת היסטוריה לא משנה אותה וגלישה פרטית לא מסתירה אותה. מבחינת אתר שרוצה לזהות אתכם שוב, זה מזהה שכמעט אי אפשר לאפס. ובניגוד לחלונית האישור ל-cookies שקופצת בכניסה, כאן אף אחד לא נשאל.

מה עושים?

אם הפרטיות חשובה לכם, בחרו דפדפן שחוסם את זה כברירת מחדל. Brave חוסם את הסקריפטים הספציפיים של עלי אקספרס, ופיירפוקס וספארי כוללים הגנות מסוימות מפני טביעת אצבע. כרום לא מציע הגנה כזאת כברירת מחדל.

חוסם תוכן כמו uBlock Origin יחסום גם הוא סקריפטים כאלה, אבל שימו לב שהוא עלול לפגוע במנגנוני האבטחה של האתר עצמו.

הפרידו את הקניות מהשאר. פרופיל דפדפן נפרד, או מכשיר נפרד, מקטין את כמות הפעילות שאפשר לחבר לאותה טביעת אצבע.

ואם המחשב מנגן בשקט ומפריע לאוזניות: סגירת הלשונית עוצרת את זה, השתקה לא.

המנגנון הזה נחשף בגלל תקלה באוזניות, לא בגלל בדיקת פרטיות. זה אומר בעיקר שדברים שלא מפריעים לאיש ממשיכים לרוץ בשקט.