実装概要
AliExpress のページは collina.js と fireyejs.js の 2 つの難読化スクリプトをロードし、Alibaba のブラウザセキュリティ・不正対策ツール群の一部として機能する。
同ページは Web Audio API を用いて無音の音声信号を生成する。構成は Sawtooth オシレータ → AnalyserNode → ScriptProcessorNode → GainNode（gain=0） → AudioContext.destination であり、audio 要素・video 要素は使用せず、HTMLMediaElement.play() の呼び出しも行わない。Media Session の状態は none である。
AudioContext は idle 状態でも running のまま destination に接続されたままになるため、ブラウザは「生きた音声処理」と認識し、オーディオ経路を占有する。
音声指紋取得の手順
生成された音量ゼロの信号は解析され、端末ごとの微小なハードウェア差が測定されて指紋が生成される。
指紋作成に併合される情報は画面サイズ、ビューポート寸法、devicePixelRatio、hardwareConcurrency、deviceMemory、インストールプラグイン、対応メディアフォーマット、WebGL レンダラ情報、WebRTC 挙動、マウス・タッチ・スクロールイベント、デバイスモーション・オリエンテーション、ブラウザ自動化プロパティ等である。
取得されたデータは暗号化される。暗号化データは fetch() または sendBeacon() を通じて Alibaba のテレメトリサービスへ送信される。
検証結果とユーザーへの影響
開発者は AliExpress を閲覧中に Bluetooth ヘッドホンのマルチポイント接続が切断される現象を観測し、コード解析により上記 Web Audio 実装を特定した。
ブロガーは計測コードを埋め込み、Web Audio API の監視で無音音声生成を確認した。難読化スクリプトの解析によりデータ送信先が特定された。
無音 Web Audio が実行されると、マルチポイント対応の Bluetooth ヘッドホンで再生中の音楽が数秒後に停止し、タブを閉じると即座に復旧する。タブミュート、ブラウザ全体ミュート、Windows のシステムミュートは効果がない。
iOS ロックダウンモードや一部中国製アプリが同様の手法でバックグラウンド実行を維持し、車載オーディオが誤認する事例が報告されている。補聴器利用者は複数サイト閲覧中に環境音増幅が変化する体験を報告している。
取得情報の追跡特性
音声指紋によりブラウザバージョン、OS、オーディオライブラリ、ハードウェア差異が一意に識別可能である。
取得情報は Cookie だけでなく包括的なブラウザ指紋として保存され、Cookie の削除やコピーに比べて追跡耐性が高い。
実装の目的
正規顧客と自動化・不審クライアント（アカウント乗っ取り、偽アカウント、スクレイピング、自動購入、決済詐欺、レビュー操作、クーポン不正利用）を区別することが目的である。
デバイス指紋の採取により不正クライアントを排除し、KPI 向上を図る。
対策
- uBlock Origin に
collina.jsとfireyejs.jsをブロックする 2 行フィルタを追加すると、AudioContext の生成と destination への接続が観測されなくなる。適用後は既存タブをすべて閉じて再度開く必要があるが、ページ描画は通常通りになる。スクリプトブロックによりログイン・決済時に CAPTCHA 増加や機能制限のリスクがある。 - Firefox 用拡張機能で音声生成動作をブロックできることが報告されている。Firefox の標準「強化型トラッキング防止」設定と併用が現実的な防衛策となる。
- iOS ロックダウンモードがデバイス指紋取得を一定程度防止できると指摘されている。
- Linux ユーザーは
pavucontrolで音声出力が継続していることを確認できるが、根本的な防止は難しい。 - W3C は指紋採取リスクに関するガイダンスを公表し、標準 API の悪用として警告している。
- EFF の Panopticlick / Cover Your Tracks 調査は Canvas、WebGL、ハードウェア情報の組み合わせによりほぼ一意のデバイス指紋が取得可能であることを実証している。
今後の課題とリスク
ブラウザ側からはタブスピーカーアイコンの表示、音声再生の許可制化、能動的な指紋ブロック機能が求められている。Firefox は指紋耐性設定を提供している。
サイト側がスクリプト URL を変更すれば現在の uBlock フィルタは無効化される可能性がある。
同様の無音 Web Audio 指紋手法が他の中国製アプリやサービスに拡散する懸念が指摘されている。
#アリエクスプレス #音声指紋 #無音WebAudio #Bluetooth切断 #uBlock対策