Brave披露阿里速卖通通过无声声波生成音频指纹追踪用户设备

一名旧金山开发者发现，阿里巴巴集团旗下跨境电商平台AliExpress通过隐藏浏览器脚本，在用户电脑上以零音量播放无声声波，以此生成设备指纹，实现对用户的追踪。该行为不依赖传统Cookie技术，而是利用设备音频处理系统的细微差异来识别用户。

据Brave披露的信息，该追踪手段利用了浏览器Web Audio API，在零音量条件下处理音频信号。由于不同电脑在CPU、声卡、浏览器等硬件和软件配置上存在差异，每台设备处理相同音频文件时会产生细微的差别。网站通过测量这些差异，将其组合成独特的“音频指纹”，从而在用户删除或屏蔽Cookie后仍能识别其设备。

此次发现源于一个意外情况。涉事开发者的蓝牙耳机无法将音频连接从电脑切换至手机，原因是AliExpress页面正在播放无声声波，占用了耳机的音频通道。进一步检查网站代码后发现，后台脚本持续维持对电脑音频处理系统的访问权限。此外，这些脚本还收集了设备可用内存、屏幕尺寸和网络信息等其他特征数据。

Brave方面表示，其浏览器在过去六年多时间里一直默认阻止音频指纹识别及其他类型的指纹追踪技术。该浏览器通过向输出数据中注入随机信息，使不同网站看到不同的设备指纹，且该指纹会在每次会话后重置。Brave还称，近期新增了对GPU指纹识别的防御功能，以防止网站通过显卡或驱动程序信息识别用户设备。