فضيحة تجسس علي اكسبريس.. صوت صامت يكشف بصمة جهازك

قد لا يحتاج موقع إلكتروني إلى معرفة اسمك أو الاحتفاظ بملفات تعريف الارتباط حتى يتعرف إلى جهازك مرة أخرى.

هذا ما أعاد إلى الواجهة نقاشًا قديمًا حول تقنيات البصمة الرقمية Fingerprinting، بعدما كشف مطور أن موقع علي اكسبريس يشغل نظامًا لمعالجة الصوت داخل المتصفح في الخلفية، رغم عدم وجود موسيقى أو فيديو يعمل على الصفحة.

بدأ الاكتشاف من مشكلة تبدو بعيدة تمامًا عن الخصوصية حيث لاحظ المطور أن سماعات البلوثوت التي يستخدمها تتوقف عن تشغيل الموسيقى من هاتفه كلما أبقى تبويب علي اكسبريس مفتوحًا على جهاز الكمبيوتر، ثم تعود الأمور إلى طبيعتها بمجرد إغلاق الصفحة. وعندما بدأ في فحص الكود المسؤول عن هذا السلوك، وجد أن الموقع يحتفظ بنظام لمعالجة الصوت نشطًا في الخلفية.

صدفة في سماعات لاسلكية كشفت ما يحدث

لم يبدأ التحقيق من باحث أمني يبحث عن علي اكسبريس تحديدًا، وإنما من خلل في تجربة استخدام سماعات لاسلكية. فكلما فتح المطور الموقع على الكمبيوتر، بدا أن النظام الصوتي للجهاز يدخل في حالة نشاط تؤثر في طريقة اتصال السماعات وتشغيل الصوت من الهاتف. وعندما كان يغلق تبويب علي اكسبريس، تختفي المشكلة.

هذا الارتباط دفعه إلى البحث داخل ما تشغله الصفحة، ليجد أنها تستخدم واجهات مرتبطة بتقنية Web Audio API التي توفرها المتصفحات الحديثة لمعالجة وإنشاء الصوت.

ولا تعد Web Audio تقنية مشبوهة في حد ذاتها؛ فهي تستخدم بصورة طبيعية في الألعاب ومواقع الموسيقى وبرامج تحرير الصوت والتطبيقات التفاعلية داخل المتصفح. لكن استخدامها يصبح أكثر إثارة للاهتمام عندما تعمل في صفحة للتجارة الإلكترونية لا تصدر أي صوت يسمعه المستخدم.

علي اكسبريس لا يحتاج إلى تشغيل الميكروفون

حسب التحقيق، لا يحتاج علي اكسبريس إلى تشغيل الميكروفون وتسجيل الأصوات المحيطة بالمستخدم، كما لا يعني بالضرورة أنه يستمع إلى المحادثات الموجودة داخل الغرفة.

بدلًا من ذلك، يستطيع الموقع إنشاء إشارة صوتية برمجيًا داخل المتصفح وضبط مستوى الصوت بحيث لا يسمعها المستخدم، ثم تمريرها عبر منظومة معالجة الصوت في الجهاز وتحليل الناتج.

الفكرة ليست معرفة ماذا يسمع الكمبيوتر، وإنما معرفة كيف يعالج الكمبيوتر الصوت، وهذه التفاصيل الدقيقة يمكن أن تصبح واحدة من الأدوات المستخدمة للتعرف إلى الجهاز.

كيف تتحول إشارة صامتة إلى بصمة لجهازك؟

قد يفترض المستخدم أن جهازين يشغلان المتصفح نفسه سيعالجان الإشارة بالطريقة ذاتها تمامًا، لكن الواقع أكثر تعقيدًا. فنظام التشغيل، وإصدار المتصفح، والمكتبات البرمجية المسؤولة عن الصوت، وبعض خصائص العتاد وتعريفاته، يمكن أن تسبب فروقًا صغيرة للغاية في النتائج الحسابية لمعالجة الإشارة.

هذه الفروق قد لا تكون مهمة بالنسبة إلى الإنسان، لكنها قابلة للقياس برمجيًا. ويستطيع الموقع تحويل مجموعة من هذه النتائج إلى قيمة يمكن استخدامها بوصفها جزءًا من بصمة الجهاز الرقمية. وكلما أضاف إليها خصائص أخرى، أصبحت القدرة على التمييز بين جهاز وآخر أكبر.

وهذه التقنية معروفة باسم Audio Fingerprinting، وهي أحد أشكال Browser Fingerprinting المستخدمة منذ سنوات على الويب، نتحدث عن بصمات رقمية تستطيع مواقع الويب والتطبيقات تمييزها.

الصوت ليس سوى قطعة واحدة من البصمة

التحقيق يشير إلى أن الإشارة الصوتية ليست العنصر الوحيد الذي يمكن استخدامه في هذه العملية. فالسكريبتات التي جرى تحليلها يمكن أن تجمع خصائص أخرى متعلقة بالجهاز والبيئة التي يعمل فيها المتصفح، من بينها معلومات عن العتاد، وبطاقة الرسوميات، وتقنية WebGL، وحجم الشاشة، والشبكة، وإعدادات النظام، وطريقة تفاعل المستخدم مع الصفحة.

قد تكون كل معلومة منفردة عديمة القيمة تقريبًا. فوجود شاشة بدقة معينة لا يكشف هوية صاحب الكمبيوتر، كما أن معرفة المتصفح المستخدم لا تكفي وحدها للتعرف إليه. لكن الجمع بين عشرات أو مئات المؤشرات يجعل التوليفة أكثر ندرة.

ويصبح السؤال الذي يحاول النظام الإجابة عنه ليس «من هو هذا الشخص؟»، وإنما: هل هذا هو الجهاز نفسه الذي رأيناه سابقًا؟

حذف الكوكيز قد لا يكون كافيًا

هنا يظهر الفرق بين البصمة الرقمية وملفات تعريف الارتباط التقليدية. فعندما يزور المستخدم موقعًا، يستطيع الموقع عادة حفظ Cookie في المتصفح تحتوي على معرف يسمح بالتعرف إلى الزيارة في المرة التالية. وإذا حذف المستخدم ملفات الكوكيز، يختفي هذا المعرف.

أما البصمة الرقمية فلا تحتاج بالضرورة إلى تخزين المعرف نفسه على جهاز المستخدم. يمكن للموقع في كل زيارة إعادة قياس مجموعة الخصائص الفنية ومقارنتها بالنتائج السابقة. وإذا كانت المجموعة مميزة بما يكفي، فقد يستطيع الاستنتاج بدرجات متفاوتة من الثقة أن الجهاز الحالي هو الجهاز نفسه الذي زار الموقع من قبل.

لهذا تعتبر تقنيات البصمات الرقمية أكثر صعوبة في التعامل معها من الكوكيز العادية، لأنها تعتمد على خصائص الجهاز نفسه بدل ملف يستطيع المستخدم حذفه بضغطة زر.

لماذا قد يستخدم متجر إلكتروني هذه التقنية؟

وجود تقنية بصمة الجهاز لا يعني تلقائيًا وجود عملية تجسس خبيثة. فمنصات التجارة الإلكترونية الضخمة تواجه مشكلات احتيال حقيقية، ويمكن أن تصبح القدرة على ربط الحسابات والأجهزة أداة مهمة لمواجهتها.

على سبيل المثال، يستطيع المحتال إنشاء عشرات الحسابات للاستفادة مرارًا من كوبون مخصص للمستخدم الجديد، أو استخدام أجهزة وحسابات متعددة للتلاعب بعروض ترويجية، أو تنفيذ عمليات دفع وسلوكيات تبدو مشبوهة.

في هذه الحالات، يمكن لبصمة الجهاز أن تساعد منصة مثل علي اكسبريس على اكتشاف أن مجموعة كبيرة من الحسابات التي تبدو منفصلة تأتي فعليًا من البيئة التقنية نفسها. ولهذا تستخدم تقنيات مشابهة في قطاعات التجارة الإلكترونية والخدمات المالية والإعلانات والأمن السيبراني.

المشكلة الأكبر قد تكون الشفافية

الجدل الذي أثاره الاكتشاف لا يرتبط بالضرورة بوجود استخدام مشروع محتمل للتقنية، وإنما بمدى معرفة المستخدم بما يجري. فالمستخدم الذي يدخل علي اكسبريس لشراء منتج قد يتوقع أن الموقع يعرف عنوان IP الخاص به ونوع المتصفح وربما يضع ملفات Cookies، لكنه لن يتوقع بالضرورة أن الصفحة تنشئ عمليات صوتية غير مسموعة لاستخراج خصائص يمكن إضافتها إلى بصمة جهازه.

وتعاني الخدمات الصينية والمنصات الرقمية في هذا البلد من قلة الشفافية وارتفاع الغش، واستغلال المستخدمين مقابل تقديم خدمات بأسعار أقل وعادة ما تكون الخدمات منخفضة الجودة أيضا.

ولا تتحرك السلطات الصينية للتشديد ضد هذه الممارسات على عكس السلطات في الدول الديمقراطية حيث هناك ديمقراطية ومساءلة للشركات وقوانين تحمي المستهلك من الغش التجاري والتجسس.