AliExpress、WebAudio指紋認証でBluetoothマルチポイントを妨害
AliExpress runs silent WebAudio fingerprinting that breaks Bluetooth multipoint
AliExpressのホームページを開くと、Bluetoothマルチポイント対応ヘッドホンの音声がスマホからPCに切り替わり、音楽が止まる問題が発生した。調査の結果、AliExpressが配信する難読化されたスクリプト（collina.jsとfireyejs.js）が、WebAudio APIを使って無音のオーディオグラフを作成し、デバイスフィンガープリントを収集していることが判明。このグラフがシステムのオーディオ出力に接続されるため、ブラウザのミュートでは止まらず、Bluetoothのオーディオパスを占有していた。uBlock Originで該当スクリプトをブロックすることで問題は解決する。
「もしAliExpressが私の音楽を止めていなければ、このサイトが何をしているのか調べることはなかっただろう。」
HNでの議論
326- lxgr
こういった悪さをすると、最近のブラウザがタブに表示するスピーカーアイコンが出るようになればいいのに。
実際には出ない（少なくとも私の経験では）ので、「無音オーディオを再生する」ことは、ブラウザが音声ストリームの内容を実際に解析するというもう少し複雑なことをする動機になるほど、ウェブサイトがよくやることなのだろう。
さて、これによってモバイルブラウザでもウェブサイトがバックグラウンドで実行され続けることができるのだろうか？私の経験では、メディアを再生することは、iOS Safari にタブを無期限に実行させ続けられる数少ないことの一つだ。
- mgerdts
以前の補聴器を使っていたとき、様々なウェブサイトを訪れると、環境ノイズの増幅が変化することに気づいた。Bluetooth で何かをやっているのだろうとずっと思っていたが、おそらく良い理由ではないだろう。これは iPhone 13 と Kirkland/Phonak の補聴器一つでの話だ。
最近はこれに気づいていないが、今は新しい Phonak の補聴器が二つあり、iOS のアップデートもいくつかあった。もしかすると、無音の Bluetooth の悪さは新しい補聴器にはそれほど影響しないか、プログラムが変わったのかもしれない。きっと悪さは続いているだろう。
- patspam
ここ数週間、AliExpress の iOS アプリを最近開いた（つまりバックグラウンドにある）状態だと、車のオーディオがオーディオコマンドを認識して変になることに気づいた。AliExpress アプリを終了するとすぐに問題は解決した。何度か発生するのを見て、何か怪しいものだと思い、アプリをアンインストールした。
- tomrittervg
WebAudio フィンガープリンティングは、Firefox（おそらく他のブラウザでも）で大幅に緩和されている。値の現在の分布と、私たちの最近の取り組みについての簡単な概要を書いた。https://ritter.vg/blog-webaudio_alibaba.html
- forestry
だから Apple は彼らを App Store から削除するだろう。それが彼らのクローズドシステムの主張の全てだ。ユーザーを悪意のあるアプリから守ると。そうだろう？
- compsciphd
音声を再生する機能は、ウェブカメラやマイクと同様に、権限で制限されるべきだと主張したい。
しかし、AliExpress で音声付き動画を再生したい人が多いだろうから、多くの人が喜んで音声再生を許可するだろうと賭ける。
とはいえ、これを一度だけの権限にすることは可能だ。もし AliExpress がこんなことをしていると知っていても買い物をしたいなら、音声付き動画を再生するたびに承認を求められるのが面倒でも、むしろ喜んで承認するだろう。
- miki123211
ああ、だから Wolt（ヨーロッパの DoorDash）はそういうことをしているのか。
アプリを使っているときに Voice Over（iOS のスクリーンリーダー）がパチパチ音を立てたり、音量がランダムに変わったりすることに気づいていたが、標準的な iOS の不具合や、iOS API の誤用の可能性だと思っていた。今思うと、これはフィンガープリンティングである可能性が非常に高い。
- emctech
最近、Bluetooth ヘッドフォンで問題が発生した。マルチポイント Bluetooth オーディオに対応しているので、PC とスマホに同時に接続できる。
AliExpress のウェブページを開くと、無音のオーディオストリームが PC とヘッドフォンのリンクをアクティブに保ち、スマホのオーディオをブロックしてしまう。
調査の結果、難読化されたコードがデバイスフィンガープリンティングを実行しており、副作用として、Firefox、Chrome、Windows が認識しないが Bluetooth 接続を維持する無音のオーディオストリームが発生していることがわかった。