AliExpress ใช้เทคนิค Audio Fingerprinting ทำให้หูฟังบลูทูธหยุดเพลงโดยอัตโนมัติ

AliExpress ถูกตั้งข้อหาใช้เทคนิค “audio fingerprinting” เพื่อเก็บข้อมูลผู้ซื้อโดยที่ผู้ใช้งานไม่รู้สึกเจอเสียงใด ๆ และยังทำให้หูฟังบลูทูธของนักพัฒนาหนึ่งหยุดเล่นเพลงทันทีเมื่อเปิดหน้าเว็บ AliExpress ในเบราว์เซอร์ Firefox หรือ Chrome ซึ่งเป็นประเด็นที่กำลังถกเถียงเรื่องความเป็นส่วนตัวบนอินเทอร์เน็ต

Overview

Matt Callaghan นักวิศวกรรมซอฟต์แวร์ของบริษัทอิสระได้บันทึกเหตุการณ์เมื่อหูฟังบลูทูธแบบ multipoint ของเขา – สามารถเชื่อมต่อกับคอมพิวเตอร์และโทรศัพท์พร้อมกัน – หยุดส่งเสียงจากมือถือทันทีที่เปิดหน้า AliExpress ใน Firefox หรือ Chrome โดยไม่มีสัญญาณวิดีโอหรือเพลงใด ๆ แสดงบนหน้าเว็บ Callaghan ได้ตรวจสอบโค้ดของเว็บไซต์แล้วพบสคริปต์ออดิโอสองชุดซึ่งถูกทำให้ “obfuscated” อย่างมาก

ตามคำบรรยายของ Callaghan สคริปต์เหล่านี้สร้าง WebAudio graph ที่ประกอบด้วย sawtooth oscillator, analyzer node และการอ่านค่า frequency data จากกราฟ แม้ว่าเสียงจะตั้งค่า gain เป็นศูนย์ ทำให้ผู้ใช้ไม่ได้ยินเสียงใด ๆ แต่กระบวนการประมวลผลออดิโอยังคงทำงานอยู่ในเบราว์เซอร์ การทำเช่นนี้แตกต่างจากการเล่นวิดีโออัตโนมัติทั่วไป เพราะไม่มี media element ที่สามารถถูกปิดโดยการ mute ของแท็บหรือระบบปฏิบัติการได้

Callaghan ยังพบว่าโค้ดของ Alibaba มีการเก็บข้อมูลเพิ่มเติมเกี่ยวกับขนาดหน้าจอ, หน่วยความจำของอุปกรณ์, ปลั๊กอินของเบราว์เซอร์, การเรนเดอร์ WebGL, เหตุการณ์เมาส์ ฯลฯ และส่งข้อมูลที่เข้ารหัสไปยังบริการ telemetry ของบริษัท ซึ่งเขาเรียกว่า “fingerprint” ที่ค่อนข้างครบถ้วน

Incident Details

เหตุการณ์เริ่มต้นเมื่อ Callaghan สังเกตว่าหูฟังบลูทูธของเขาไม่สลับกลับมาใช้งานกับโทรศัพท์อย่างราบรื่นหลังจากเปิดหน้า AliExpress ใน Firefox หรือ Chrome การปิดแท็บที่เกี่ยวข้องทำให้เสียงกลับมาทำงานตามปกติ แต่การ mute แท็บ, เบราว์เซอร์ หรือระบบ Windows ไม่ได้แก้ไขปัญหา

Callaghan ได้ตรวจสอบ HTML ของหน้าและไม่พบองค์ประกอบสื่อใด ๆ ที่อาจเป็นต้นเหตุของการเล่นเสียง ต่อมาเขาพบไฟล์ JavaScript สองไฟล์ที่ถูกเข้ารหัสซับซ้อนและทำหน้าที่สร้าง WebAudio graph ตามที่ได้อธิบายไว้ข้างต้น การประมวลผลนี้ทำให้ระบบ Bluetooth ยังคงถือว่ามีสตรีมเสียงกำลังเล่นอยู่ จึงไม่ยอมสลับอุปกรณ์อัตโนมัติ

ผลการทดสอบของ Callaghan แสดงว่า ปัญหานี้สามารถทำซ้ำได้ทั้งใน Firefox เวอร์ชันล่าสุดและ Chrome โดยไม่มีความแตกต่างด้านพฤติกรรม แม้ว่า AliExpress จะไม่ได้เปิดเผยเจตนาที่จะใช้เทคนิคนี้เพื่อเก็บข้อมูลผู้ใช้

Technical Mechanism

WebAudio API เป็นส่วนหนึ่งของมาตรฐาน HTML5 ที่ให้เว็บเพจสร้างสภาพแวดล้อมการประมวลผลเสียงแบบเรียลไทม์ โดยไม่จำเป็นต้องมีไฟล์สื่อใด ๆ ในกรณีนี้ Alibaba ใช้ sawtooth oscillator เพื่อสร้างรูปคลื่น, ส่งผ่าน analyzer node แล้วอ่านค่า frequency data เพื่อนำไปใช้เป็นข้อมูลระบุตัวอุปกรณ์

กระบวนการดังกล่าวทำให้เบราว์เซอร์ต้องประมวลผลเสียงอย่างต่อเนื่อง แม้ว่า gain จะถูกตั้งเป็นศูนย์ ดังนั้นผู้ใช้ไม่เคยได้ยินเสียงใด ๆ แต่ข้อมูลที่ได้จาก analyzer สามารถเปิดเผยรายละเอียดของฮาร์ดแวร์และซอฟต์แวร์ เช่น ความถี่การตอบสนองของ DAC, การทำงานของ CPU และแม้กระทั่งลักษณะการจัดการบัฟเฟอร์เสียงของระบบปฏิบัติการ

โดยทั่วไปวิธีนี้แตกต่างจาก autoplay video ที่เบราว์เซอร์สามารถหยุดได้ด้วยการ mute เพราะไม่มีองค์ประกอบ media ปกติที่เชื่อมต่อกับการควบคุมเหล่านั้น ทำให้เทคนิค WebAudio fingerprinting ยากต่อการตรวจจับและปิดกั้นโดยผู้ใช้ทั่วไป

Browser Defenses

Firefox ได้ออกแถลงการณ์ว่าเทคโนโลยี anti‑fingerprinting ของตนได้ “thwart” การติดตามแบบนี้แล้ว จากบล็อกโพสต์ของ Tom Ritter วิศวกรด้านความปลอดภัยของ Firefox ระบุว่าตั้งแต่ **เวอร์ชัน 118 (กันยายน 2023) ระบบได้ทำการกลุ่มผู้ใช้ทั้งหมดให้อยู่ใน “buckets” สามประเภท เพื่อให้ข้อมูล fingerprint ของหลาย ๆ ผู้ใช้ดูเหมือนว่าเป็นคนเดียวกัน

• **Bucket 1: CPU x86/x64 ที่ไม่มีคำสั่ง FMA
• **Bucket 2: CPU x64 ที่มีคำสั่ง FMA
• **Bucket 3: อื่น ๆ (ครอบคลุม 0.76 % ของผู้ใช้)

ตามข้อมูลของ Firefox 99.24 % ของผู้ใช้ตกอยู่ในสาม bucket นี้ ส่วนที่เหลือ 0.76 % หรือประมาณ 48 ผู้ใช้ทั่วโลก ไม่เข้าสู่ bucket ใดเลยและถูกจัดเป็น 23 buckets เล็ก ๆ ทำให้ fingerprint ของพวกเขามีความเฉพาะเจาะจงสูงกว่า

Ritter ยอมรับว่าผู้ใช้กลุ่มนี้ “มีโอกาสโดนติดตามได้มากกว่า” เนื่องจากไม่ได้ถูกรวมอยู่ในกลุ่มใหญ่ แต่ยังคงอธิบายว่าเทคนิค WebAudio fingerprinting โดยรวมแล้ว “เกือบไม่มีประโยชน์” ในแง่ของการติดตามผู้ใช้จำนวนมาก

Brave ให้การตอบรับว่าตัวเบราว์เซอร์ได้ inject random data ลงในผลลัพธ์ของ WebAudio เพื่อตั้งค่า fingerprint ที่แตกต่างกันสำหรับแต่ละไซต์ และบล็อกสคริปต์ที่ AliExpress ใช้โดยอัตโนมัติ Safari มี “Advanced Tracking and Fingerprinting Protection” ซึ่งทำการใส่ audio errors เข้าไปใน buffer แทนการจัดกลุ่มผู้ใช้ ส่วน Chrome ยังคงมีช่องโหว่ – ตามที่นักวิเคราะห์ความเป็นส่วนตัว Alexander Hanff กล่าวไว้ว่า “มีอย่างน้อยสามสิบเทคนิค fingerprinting ที่ยังทำงานได้บน Chrome ตอนนี้”

Industry Response

จนถึงขณะนี้ Alibaba ยังไม่ได้ให้ความคิดเห็นต่อข้อกล่าวหานี้ The Register ได้ส่งคำถามไปยังบริษัทแล้วแต่ยังไม่มีการตอบกลับ ในขณะที่ชุมชนความปลอดภัยออนไลน์กำลังตรวจสอบว่าการเก็บข้อมูลแบบนี้อาจละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลของหลายประเทศหรือไม่

Firefox, Brave และ Safari ต่างเน้นย้ำว่า “การป้องกันระดับเบราว์เซอร์” คือวิธีที่ดีที่สุดในการต่อสู้กับ fingerprinting โดยไม่ได้พยายามบล็อกเทคนิคที่ต้นทาง แต่ทำให้ผลลัพธ์ถูกกลุ่มเป็นข้อมูลทั่วไปเพื่อทำให้การติดตามไม่มีความหมาย

สำหรับผู้ใช้ทั่วไป ความเสี่ยงจาก WebAudio fingerprinting ยังคงอยู่แต่ระดับต่ำกว่าเมื่อเทียบกับวิธีอื่น ๆ เช่น Canvas หรือ Font fingerprinting หากต้องการปกป้องตนเองอย่างเต็มที่ การใช้เบราว์เซอร์ที่มีฟีเจอร์ anti‑fingerprinting เป็นค่าเริ่มต้น (เช่น Firefox) หรือเปิดใช้งานส่วนขยาย privacy เพิ่มเติมยังเป็นแนวทางที่แนะนำ

Impact

เหตุการณ์นี้ย้ำให้เห็นว่าผู้ขายออนไลน์ระดับโลกอาจใช้วิธีการลับ ๆ เพื่อเก็บข้อมูลผู้บริโภคโดยไม่ต้องพึ่งพาไฟล์สื่อที่มองเห็นได้ เทคนิค WebAudio fingerprinting สามารถทำให้ระบบ Bluetooth หรือการจัดการเสียงของอุปกรณ์อื่น ๆ มีพฤติกรรมแปลก ๆ เช่น หยุดเล่นเพลงโดยไม่มีสัญญาณใด ๆ

ผลกระทบต่อผู้ใช้อาจอยู่ในระดับ “ประสบการณ์ใช้งานที่แปรปรวน” มากกว่า “การละเมิดข้อมูลส่วนบุคคล” อย่างชัดเจน แต่เมื่อข้อมูล fingerprint ถูกส่งไปยังระบบ telemetry ของ Alibaba แล้วรวมกับข้อมูลอื่น ๆ (ขนาดหน้าจอ, หน่วยความจำ, ปลั๊กอิน) ความเป็นส่วนตัวของผู้บริโภคก็อาจถูกทำลายอย่างละเอียด

จากมุมมองกฎระเบียบ การเก็บ fingerprint โดยไม่ได้รับความยินยอมโดยชัดเจนอาจเข้าข่ายการละเมิดข้อกำหนด GDPR หรือ PDPA ของไทย หากมีการตรวจสอบเพิ่มเติมและพบว่ามีการใช้ข้อมูลเพื่อโฆษณาแบบ targeted อย่างไม่มีการแจ้งเตือน ผู้ประกอบการอาจต้องเผชิญกับบทลงโทษหรือจำเป็นต้องปรับนโยบายความเป็นส่วนตัว

Summary

AliExpress ถูกเปิดเผยว่าใช้เทคนิค WebAudio fingerprinting ที่ทำงานโดยไม่ให้เสียงออกมา แต่สามารถเก็บข้อมูลอุปกรณ์และส่งไปยังเซิร์ฟเวอร์ของบริษัทได้ เบราว์เซอร์หลายตัวเช่น Firefox, Brave และ Safari มีการป้องกันเพื่อทำให้วิธีนี้ไม่มีประสิทธิภาพต่อผู้ใช้ส่วนใหญ่ แม้ว่าผู้ใช้บางกลุ่มที่ไม่ได้อยู่ใน “bucket” จะอาจยังเสี่ยงต่อการถูกติดตามอย่างเฉพาะเจาะจง.