알리익스프레스(AliExpress) 홈페이지에서 오디오 하드웨어를 이용해 사용자를 추적하는 코드가 발견됐습니다.
한 개발자가 알리익스프레스 탭을 열어둔 상태에서 블루투스 헤드폰이 기기 간 전환이 되지 않는 문제를 겪으며 이를 발견했습니다. 탭을 닫자 문제가 사라졌고, 코드를 분석한 결과 해당 사이트가 Web Audio API를 이용해 볼륨이 0으로 설정된 오디오 처리 그래프를 실행하고 있다는 사실이 드러났습니다. 소리는 발생하지 않지만 시스템 오디오 경로를 지속적으로 점유하는 방식입니다.
이 코드는 브라우저 핑거프린팅에도 활용됩니다. 동일한 오디오 신호를 기기가 처리하는 방식의 미세한 차이를 측정해 CPU, 사운드 하드웨어, OS, 브라우저, 드라이버 등의 정보를 조합하면 쿠키 없이도 기기를 식별할 수 있습니다. 수집된 데이터는 오디오 신호 외에도 캔버스 렌더링, WebGL, 디스플레이 설정, 하드웨어 구성, WebRTC 동작, 유저 인터랙션 등을 포함합니다.
핑거프린팅은 주로 사기 방지나 봇 탐지 목적으로 활용되지만, 유저가 인지하거나 제어하기 어렵다는 점에서 프라이버시 침해 우려가 제기됩니다.
브레이브(Brave) 브라우저는 8월 22일 X 계정을 통해 해당 스크립트를 차단하고 있다고 밝혔습니다. 브레이브는 6년 이상 오디오 핑거프린팅 방어 기능을 기본 탑재해왔으며, 최근에는 GPU 핑거프린팅 차단 기능도 추가했습니다. 다른 브라우저 유저는 uBlock Origin 같은 콘텐츠 차단 확장 프로그램을 통해 해당 스크립트를 막을 수 있습니다.
오디오 핑거프린팅 이라고 브라우저에 특징을 들리지않는 소리로 구분하는 기법인데, 이걸 알리 홈페이지에서 크롬으로 실행할경우
무조건 활성화되도록 되어있어나봄. 다른 사이트에서도 저런식으로 브라우저 정보 수집하기는 하는데, 하필이면 그게 중국이니 더찜찜하지.
찝찝한 개붕이들은 애드블록 프로그램등으로 블록 가능하니 설치하든가 하슈
한줄요약 : 데어데블 알리 웹페이지. 근데, 알리앱이라고 안전할까?
