In questo articolo Indice dei contenuti 2 sezioni
Chi apre AliExpress dal computer potrebbe non accorgersi di nulla, e proprio qui sta il punto: il sito, secondo quanto emerso dall’analisi del ricercatore Matthew Callaghan, prova a riconoscere il dispositivo di chi naviga generando un suono che l’orecchio umano non percepisce. Nessun cookie, nessuna richiesta di consenso evidente, solo una traccia audio impostata a volume zero e analizzata dal browser. Una tecnica che rientra nella famiglia del fingerprinting, il metodo con cui una pagina web cerca di costruire un’impronta unica della macchina che la sta visitando.
La scoperta, va detto, è arrivata quasi per caso. Callaghan usava delle cuffie Bluetooth multipoint, quelle che restano collegate contemporaneamente a due dispositivi, e ha notato che ogni volta che apriva AliExpress sul PC l’audio dello smartphone si interrompeva. Chiudendo la scheda del browser tutto tornava a funzionare regolarmente. Un comportamento troppo sistematico per essere un caso, e da lì è partita l’indagine.
Come funziona il fingerprinting con WebAudio
Dentro le pagine sono comparsi due script offuscati, cioè scritti in modo da rendere difficile capire cosa facciano davvero, che sfruttavano WebAudio. Si tratta dell’interfaccia con cui i siti possono elaborare suoni direttamente nel browser, una funzione perfettamente legittima e usata da mezzo web per giochi, player musicali, videochiamate. Il meccanismo individuato è semplice nella sua logica: il browser genera una forma d’onda nota, la elabora e poi misura il risultato ottenuto.
Il volume resta a zero, quindi nessuno sente niente. Ma il computer continua a fare i suoi calcoli, e quei calcoli non restituiscono un valore identico su tutte le macchine. Piccolissime differenze nell’hardware, nel sistema operativo, nella versione del browser producono risultati leggermente diversi. Ed è esattamente quello che serve a chi vuole distinguere un visitatore dall’altro. Il segnale non si sente, ma lascia un’impronta.
L’effetto collaterale, in questo caso, è stato il campanello d’allarme. Attivare il motore audio del sistema, anche a volume zero, può bastare a far scattare il cambio di priorità delle cuffie Bluetooth multipoint, che passano dallo smartphone al PC. Un dettaglio tecnico che di solito nessuno nota, tranne quando la musica si interrompe senza motivo apparente.
Perché il tracciamento non ha bisogno di cookie
La vicenda AliExpress è utile soprattutto per ricordare una cosa: il tracciamento online non passa necessariamente dai cookie. Quelli sono la parte visibile, quella dei banner e dei consensi. Il resto lavora più in silenzio. Un sito può provare a riconoscere un dispositivo osservando decine di piccoli dettagli che il browser espone quasi inevitabilmente, dalla scheda grafica alla dimensione dello schermo, dai font installati alle impostazioni di lingua e fuso orario.
Preso singolarmente, ogni dato dice poco. Combinati, però, restituiscono una configurazione che in molti casi risulta abbastanza rara da funzionare come un identificativo. È il principio del browser fingerprinting, e l’audio ne rappresenta una delle varianti meno intuitive proprio perché non produce nulla di percepibile.
Quello che rende la tecnica scomoda, dal punto di vista di chi naviga, è la difficoltà di accorgersene. Cancellare i cookie non serve a niente, perché l’impronta non è salvata sul dispositivo, viene ricalcolata ogni volta. E nel caso degli script offuscati trovati su AliExpress, capire cosa stia accadendo richiede di andare a leggere il codice della pagina, operazione che non fa parte delle abitudini della quasi totalità degli utenti. A smascherare il meccanismo non è stato dunque uno strumento di analisi sofisticato, ma un paio di cuffie che smettevano di suonare al momento sbagliato.
