AliExpress Gizlice Ses Donanımıyla Kullanıcıları İzliyor

Çinli e-ticaret devi AliExpress'in web sitesinde çalışan kodların, kullanıcıların haberi olmadan tarayıcı üzerinden gizli ses işlemleri gerçekleştirdiği ortaya çıktı. Sistem, cihazların benzersiz bir şekilde tanımlanması için ses donanımı ve çeşitli tarayıcı verilerinden yararlanarak dijital parmak izi oluşturuyor. Bu tür takip yöntemlerinin üzerinde çerezlerdeki gibi açık bir kontrol mekanizması bulunmaması ise ciddi gizlilik endişelerini beraberinde getiriyor.

Bluetooth Kulaklık Sorunu Her Şeyi Ortaya Çıkardı

Sistemin varlığı, bir geliştiricinin AliExpress'i ziyaret ederken yaşadığı beklenmedik bir teknik sorunla gün yüzüne çıktı. Geliştirici, bilgisayar ve telefon arasında otomatik geçiş yapabilen Bluetooth kulaklıklarının AliExpress sekmesi açıkken bu özelliğini kullanamadığını fark etti. İlginç olan, sekme kapatıldığında sorunun kaybolmasıydı.

Durumu araştırmak için AliExpress'in kodlarını inceleyen geliştirici, sitenin tarayıcıda Web Audio API kullanan ses işleme grafikleri oluşturduğunu tespit etti. Bu grafikler sıfır ses seviyesinde çalışıyor, yani kullanıcı hiçbir ses duymuyor ancak bilgisayarın ses sistemiyle bağlantı kesintisiz devam ediyordu. Tarayıcı, arka planda bir ses sinyalini sürekli işliyordu ve sekmeyi sessize almak bile bu işlemi durdurmuyordu. Ses işleme grafiği sistemin ses çıkışına bağlı olduğu için, ortada duyulabilir bir ses olmasa bile ses yolu aktif kalıyordu.

Çerez Olmadan Cihaz Tanımlama

Sistemin asıl dikkat çekici yanı, sadece ses donanımını arka planda kullanması değil. Aynı kodun ses tabanlı bir tarayıcı parmak izi oluşturmak için de kullanıldığı belirlendi. Her cihazın ses donanımı, sinyal işleme sırasında mikro düzeyde farklılıklar gösteriyor ve bu farklılıklar benzersiz bir imza oluşturmak için kullanılabiliyor.

Ancak ses ölçümleri toplanan verilerin yalnızca bir kısmını oluşturuyor. Sistemin Canvas, WebGL, ekran ayarları, donanım özellikleri, WebRTC davranışı ve kullanıcı etkileşimleri gibi çok sayıda farklı veriyi de topladığı belirtiliyor. Bu veriler bir araya getirildiğinde, cihazın son derece ayrıntılı bir dijital parmak izi ortaya çıkıyor. Bu sayede web siteleri, geleneksel çerezlere ihtiyaç duymadan cihazları ve kullanıcıları tanımlayabiliyor.

Güvenlik mi, Gözetim mi?

Bu tür parmak izi teknolojileri yalnızca reklam veya kullanıcı takibi amacıyla kullanılmıyor. Büyük çevrim içi platformlar, cihazlardan elde edilen bu sinyalleri dolandırıcılık önleme, bot tespiti ve risk değerlendirmesi gibi güvenlik işlemlerinde de kullanabiliyor. AliExpress'teki kodların da şirketin güvenlik sistemleriyle bağlantılı olduğu belirtiliyor.

Ancak buradaki asıl sorun şeffaflık eksikliği. Çerezler için kullanıcıların onayı alınması ve bu çerezlerin yönetilmesi için mekanizmalar bulunurken, tarayıcı parmak izi teknikleri tamamen görünmez bir şekilde çalışıyor. Kullanıcılar, cihazlarının hangi verilerin toplandığından ve bunların nasıl kullanıldığından haberdar olmuyor. Ayrıca bu tür takip yöntemlerini engellemek de çerezleri reddetmek kadar kolay değil.

Gizlilik Tartışması Büyüyor

AliExpress'in bu uygulaması, dijital gizlilik konusundaki tartışmalara yeni bir boyut kazandırıyor. Özellikle Çin merkezli teknoloji şirketlerinin veri toplama pratiklerinin dünya çapında sıkı bir şekilde incelendiği bir dönemde, bu tür gizli takip yöntemlerinin ortaya çıkması endişeleri artırıyor.

Web tarayıcıları ve düzenleyici otoriteler, kullanıcı gizliliğini korumak için çerezlere karşı önlemler alırken, parmak izi teknolojileri bu korumaları devre dışı bırakabiliyor. Geliştiriciler ve gizlilik savunucuları, bu tür tekniklerin daha sıkı düzenlenmesi ve kullanıcılara daha fazla kontrol verilmesi gerektiğini savunuyor.

Şimdilik kullanıcılar için en iyi koruma yöntemi, tarayıcı gizlilik ayarlarını sıkılaştırmak ve gerektiğinde Web Audio API gibi özelliklere erişimi kısıtlayan tarayıcı eklentileri kullanmak olarak öne çıkıyor. Ancak bu teknik bilgi gerektiren çözümler ortalama kullanıcı için pek pratik değil.