AliExpress Audio-Tracking aufgeflogen: Warum die Spionage-Panik mittlerweile unbegründet ist
Achtung, Skandal im Anflug. So jedenfalls schien die Tech-Welt gestern noch aufzuschreien. Der Shopping-Gigant AliExpress nutze heimliche, unhörbare Audiosignale, um die Rechner seiner unwissenden Besucher auszuspionieren und einen digitalen Fingerabdruck zu erstellen. Grund dafür sind verdeckte Browser-Skripte, die durch einen verrückten Bluetooth-Fehler aufgeflogen sind. Wer jetzt aber in Panik verfällt und hastig seine Browser-Erweiterungen aufrüstet, kann sich entspannt zurücklehnen. Ein genauerer Blick auf die Technik zeigt: Die Aufregung ist eigentlich ein alter Hut und euer Browser schützt euch höchstwahrscheinlich längst vor dem AliExpress-Code.
Inhalt
Der Bluetooth-Glitch: Was war passiert?
Kurz zur Ausgangslage: Ein Entwickler hatte festgestellt, dass seine Bluetooth-Kopfhörer (Multipoint) nicht mehr zuverlässig zwischen PC und Smartphone wechselten, solange ein AliExpress-Tab in seinem Browser geöffnet war. Der Grund: Auf der Website lief im Hintergrund ein Skript über die Web Audio API.
Dieses schickt ein stummgeschaltetes Audiosignal durch das System, um zu messen, wie der Prozessor, der Soundchip und das Betriebssystem das Signal verarbeiten. Da das bei jedem Rechner minimal anders abläuft, entsteht ein einzigartiger „Audio-Fingerabdruck“. Der Nutzer ist beim nächsten Besuch auch ohne Cookies eindeutig wiedererkennbar.
Entwarnung: Die Browser-Entwickler waren schneller
Was in vielen Berichten aktuell als neue, erschreckende Spionage-Methode verkauft wird, ist in Entwicklerkreisen längst bekannt – und glücklicherweise weitgehend entschärft. Wie Golem richtigstellt, handelt es sich bei dem Skript auf AliExpress sehr wahrscheinlich um eine technische Altlast, die vor Jahren implementiert und schlichtweg nie gelöscht wurde.
Der Grund, warum das Skript heute weitgehend ins Leere läuft, liegt direkt in eurer Browser-Engine. Google soll mittlerweile Audio-Fingerprinting unterbinden. Damit sind auch alle Browser auf Chromium-Basis, darunter Microsoft Edge als bekannter Vertreter, höchstwahrscheinlich bereits abgesichert. Der Brave-Browser geht sogar noch einen Schritt weiter und verfälscht bereits absichtlich die API-Werte.
Mozilla hat das Problem bei Firefox bereits mit Version 118 (September 2023) gelöst. Die Entwickler tauschten die mathematische Bibliothek (FDLIBM) für die Audioverarbeitung aus. Diese sorgt nun dafür, dass das Audiosignal unabhängig von eurer speziellen Hardware fast immer exakt gleich berechnet wird. Die winzigen, hardware-spezifischen Differenzen, nach denen das AliExpress-Skript sucht, werden also schlichtweg glattgebügelt. Das Fingerprinting wird unbrauchbar.
Testet euch selbst: Tools decken den Fingerabdruck auf
Auch wenn die Audio-Schnittstelle weitgehend geschützt ist: Webseiten können noch dutzende andere Parameter (Bildschirmauflösung, installierte Schriften, Grafik-Rendering) abfragen, um euch zu tracken. Die aktuelle AliExpress-Debatte hat den Entwickler David Dale dazu motiviert, das Open-Source-Tool „Glassbox„ zu programmieren.
Wenn ihr die Website aufruft, seht ihr in Echtzeit, welche Daten euer Browser freiwillig an Webseitenbetreiber herausgibt. Neben Glassbox gibt es noch weitere, teils mächtigere Tools, mit denen ihr euren digitalen Fußabdruck kostenlos analysieren könnt. Dazu gehört etwa der Open-Source-Test „Am I Unique„, Tools wie „Cover Your Tracks“ oder Loupe (speziell für iOS).
Einschätzung: Ein Webseiten-Relikt, aber ein guter Weckruf
Dass AliExpress dieses Skript noch immer auf der Startseite mitlaufen lässt, wirft sicher kein gutes Licht auf die Code-Hygiene des Unternehmens, das wir auch um eine Stellungnahme gebeten haben. Immerhin: Moderne Browser haben dieses Einfallstor längst erkannt und geschlossen.
Trotzdem ist der Vorfall ein guter Weckruf. Er zeigt, mit welchen kreativen Methoden Plattformen versuchen, den Wegfall von Tracking-Cookies zu kompensieren. Wer auf Nummer sicher gehen will, nutzt Tools wie „Cover Your Tracks“, um den eigenen Browser-Schutz ab und zu auf die Probe zu stellen.
Wie sieht euer Setup aus? Nutzt ihr Blocker? Oder verlasst ihr euch auf die Standard-Einstellungen von Chrome, Firefox oder Safari? Schreibt es in die Kommentare!
Quelle(n):
Wenn du über einen Link auf dieser Seite ein Produkt kaufst, erhalten wir oftmals eine kleine Provision als Vergütung. Für dich entstehen dabei keinerlei Mehrkosten und dir bleibt frei wo du bestellst. Diese Provisionen haben in keinem Fall Auswirkung auf unsere Beiträge. Zu den Partnerprogrammen und Partnerschaften gehört unter anderem eBay und das Amazon PartnerNet. Als Amazon-Partner verdienen wir an qualifizierten Verkäufen.
Kommentar schreiben