AliExpress: البصمة الرقمية عبر واجهة Web Audio

تفتح متجراً إلكترونياً، وفجأة تتوقف الموسيقى على الهاتف. لا يوجد فيديو يعمل في المتصفح، ولا إعلان مسموع، وحتى كتم علامة التبويب لا يغير شيئاً. لا تعود سماعات Bluetooth إلى الهاتف بصورة سليمة إلا بعد إغلاق علامة تبويب AliExpress.

ما بدا كأنه خلل في Bluetooth Multipoint قاد المطور Matt Callaghan إلى ملفي JavaScript شديدي التمويه على الصفحة الرئيسية لـ AliExpress. كان كلاهما ينشئ في الخلفية مخطط Web Audio يظل قيد التشغيل. مستوى الخرج كان صفراً، ولذلك لم يكن هناك صوت مسموع. ومع ذلك بقي مسار الصوت نشطاً بالنسبة إلى المتصفح ونظام التشغيل والسماعات.

الاكتشاف مثير تقنياً لأن أثراً جانبياً غير مقصود في العتاد كشف قياساً غير مرئي داخل المتصفح. وهو أكثر أهمية أمنياً لأن Web Audio لم يكن سوى عنصر واحد. فقد فحصت النصوص أيضاً Canvas وWebGL والشاشة والعتاد وتنسيقات الوسائط المدعومة وWebRTC وتفاعلات المستخدم. والنتيجة تبدو كبصمة شاملة للمتصفح والجهاز.

خلل Bluetooth الذي لم يكن خللاً

يستخدم Callaghan سماعات Multipoint متصلة بالحاسوب والهاتف في الوقت نفسه. عادة يستمع إلى الموسيقى من الهاتف، وعندما يشغل الحاسوب صوتاً فعلياً ينتقل التشغيل إليه. بدأ هذا التحول في الأولوية يعلق عند فتح AliExpress في Firefox أو Chrome. ولم يختبر متصفحات أخرى.

استُبعدت الأسباب المعتادة. لم توجد عناصر صوت أو فيديو، ولا استدعاء لـ HTMLMediaElement.play()، ولا Media Session نشطة، ولا ملف وسائط واضح في حركة الشبكة. الملاحظة الوحيدة كانت أن الاضطراب يبدأ بعد ثوان من تحميل الصفحة.

لذلك أضاف Callaghan أدوات مراقبة إلى واجهة Web Audio. استبدل مُنشئ AudioContext بغلاف، وسجل سياقات الصوت الجديدة، وراقب الاتصالات عبر AudioNode.connect(). ظهر سياقان نشطان، وأشارت مسارات الاستدعاء إلى النصين التاليين:

assets.aliexpress-media.com/g/AWSC/uab/1.140.0/collina.js
assets.aliexpress-media.com/g/AWSC/fireyejs/1.231.67/fireyejs.js

كان كلاهما تحت مسار AWSC، وبدت وظائفهما كجزء من بنية Alibaba لأمن المتصفح واكتشاف إساءة الاستخدام. هذا الإسناد منطقي، لكنه لا يثبت نهائياً من أسماء الملفات وحدها. إلا أن Alibaba Cloud توثق صراحة في Anti-Bot Web SDK مجمّع بيانات ويب يعمل مع تقييم على جانب الخادم.

أمكن تضييق السلوك أكثر: بعد حظر عائلتي النصوص، لم يُنشأ في قياس Callaghan الضابط أي سياق صوت أو اتصال بمخرج الصوت. وظلت الصفحة الرئيسية والبحث العادي عن المنتجات يعملان في اختباره.

ما الذي يفعله مخطط Web Audio بالضبط؟

Web Audio ليست وظيفة تنصت مخفية، بل واجهة متصفح قوية للألعاب والمُركّبات الصوتية ومؤتمرات الفيديو والتطبيقات التفاعلية الأخرى. وبدلاً من تشغيل ملف صوتي فقط، يمكن للموقع ربط عقد معالجة منفردة في مخطط.

بصورة مبسطة، بنت نصوص AliExpress المفحوصة السلسلة التالية:

OscillatorNode بموجة سن منشار
  -> AnalyserNode
  -> ScriptProcessorNode
  -> GainNode بكسب 0
  -> AudioContext.destination

يولد المذبذب إشارة معروفة. يوفر AnalyserNode بيانات القياس من المعالجة، وتقرأ JavaScript قيم التردد. ثم يضبط GainNode المستوى على الصفر. تصبح الإشارة غير مسموعة، لكن المخطط يظل متصلاً بـ AudioContext.destination، أي بالمخرج الآني.

هذا الاتصال تحديداً يفسر الأثر الجانبي. مستوى صوت صفري لا يعني معالجة صفرية. يواصل المتصفح حساب المخطط، ويبدو أن ذلك كان كافياً على نظام Windows لدى Callaghan لإبقاء مسار صوت الحاسوب نشطاً. لذلك ظل التحويل التلقائي في Multipoint يعد الحاسوب مصدراً نشطاً.

بالنسبة إلى قياس حسابي بحت، كان OfflineAudioContext أنسب. فهو يعالج المخطط مباشرة في مخزن بالذاكرة من دون إرساله إلى مكبرات الصوت أو جهاز الصوت في النظام. وفي مخطط AliExpress يقع المذبذب والتحليل أيضاً قبل الخرج المضبوط على الصفر. لم يقدم الاتصال بالمخرج الحي فائدة إضافية ظاهرة لبيانات التردد المقروءة، لكنه تسبب في الأثر المرئي.

Mozilla سجلت الأثر نفسه عام 2023

قدمت سماعات Callaghan في 2026 الإشارة التي جذبت الاهتمام العام. لكن أثر المتصفح الأساسي كان مسجلاً لدى Mozilla منذ نوفمبر 2023 باسم Bug 1863193. وصف التقرير الأصلي عن Firefox 119 صفحات AliExpress التي تولد طلب طاقة صوت دائم في Windows 11. كان powercfg /requests يبلغ عن تدفق صوت نشط رغم عدم ظهور تشغيل في علامة التبويب، ولذلك لم يعد الحاسوب يدخل وضع السكون تلقائياً. واختفى الطلب بعد إغلاق التبويب.

فعّل مطور Mozilla، Karl Tomlinson، تسجيل Web Audio. أظهر السجل مرتين السلسلة نفسها التي وصفها Callaghan لاحقاً: OscillatorNode وAnalyserNode وScriptProcessorNode وGainNode مكتوم وAudioDestinationNode. ولاحظ Tomlinson استخداماً دائماً مشابهاً للجهاز في Chrome، وذكر أن AliExpress يمكنها إنهاؤه عبر AudioContext.suspend().

هذا تأكيد مستقل مهم. فالأثر الجانبي في العتاد لا يعتمد فقط على تفسير Callaghan لنص مموه. كانت Mozilla قد سجلت قبل سنوات المخطط النشط وتأثيره في إدارة طاقة Windows مباشرة داخل المتصفح. ولا يزال الخطأ مفتوحاً. كما يبين أن المسؤولية مشتركة: كان بإمكان AliExpress تعليق السياق بعد القياس، ويمكن للمتصفح فصل مخطط مكتوم فعلياً وغير مطلوب عن جهاز الصوت في وقت أبكر.

لا ميكروفون ولا موجات فوق صوتية في الغرفة

الدقة اللغوية مهمة هنا. في هذا الاختبار لم تسجل AliExpress الميكروفون ولم تستمع إلى أصوات الغرفة. كان الوصول إلى الميكروفون سيمر عبر getUserMedia() ويتطلب إذن المستخدم.

ومن المضلل أيضاً تصور أن المتجر أرسل إشارة فوق صوتية عبر مكبرات الصوت ثم التقطها مادياً. حدث القياس داخل معالجة الصوت في المتصفح. حُسبت موجة سن المنشار وحُللت، ثم ضُبطت على الصفر قبل الخرج. نشأ أثر السماعات لأن المخطط الافتراضي ظل متصلاً بالمخرج الحقيقي.

لماذا قد تعطي الحسابات المتطابقة نتائج مختلفة؟

تتضمن معالجة الإشارات الرقمية كثيراً من عمليات الفاصلة العائمة. ويمكن لمعمارية CPU والمكتبات الرياضية وقرارات المترجم وتنفيذ المتصفح والتقريب أن تنتج فروقاً صغيرة. يذكر معيار Web Audio صراحة OscillatorNode وDynamicsCompressorNode ومعدل العينة والكمون وقياسات الزمن كسطوح محتملة للبصمة. ولذلك يُفترض بالمتصفحات الحد من هذه الفروق.

لكن نتيجة Web Audio ليست رقماً تسلسلياً سحرياً للعتاد. قد تعطي أجهزة متعددة القيمة نفسها، ويمكن للمتصفح توحيد النتائج أو تغييرها. وتزداد القدرة على التعرف عند دمجها مع خصائص أخرى.

الطريقة مستخدمة منذ 2016 على الأقل

بصمة الصوت ليست اكتشافاً جديداً في 2026. فقد درس Steven Englehardt وArvind Narayanan مليون موقع في دراسة OpenWPM المنشورة في ACM CCS عام 2016. ووجدا بصمة AudioContext في ثلاثة نصوص على 67 موقعاً. وبحسب تحليلهما اليدوي استخدم نصان التقنية فعلياً.

هناك أيضاً ولد مذبذب إشارة معروفة عولجت وقُرئت ثم جرى تجزئتها. وفي أحد الأشكال الموثقة مر المخطط عبر AnalyserNode وScriptProcessorNode وGainNode مكتوم إلى المخرج. البنية قريبة بصورة لافتة من نمط AliExpress. وقد شدد باحثو Princeton آنذاك على أن الميكروفون غير مطلوب وأن تقنيات البصمة تُدمج عادة.

إذن الجديد في حالة AliExpress ليس الفكرة الأساسية، بل العثور عليها عملياً في أحد أكبر الأسواق الإلكترونية، والجمع الواسع لخصائص أخرى، والأهم القناة الجانبية التي جعلت القياس ظاهراً.

قيمة الصوت كانت قطعة واحدة من الأحجية

وجد Callaghan في الحزم المفحوصة استعلامات وقياسات لخصائص إضافية كثيرة:

• رسم Canvas وtoDataURL()
• عارض WebGL والامتدادات ودقة المظللات
• أبعاد الشاشة وviewport وDevice Pixel Ratio
• hardwareConcurrency وdeviceMemory
• إضافات المتصفح المثبتة وتنسيقات الوسائط المدعومة
• سلوك WebRTC وتوقيت الأداء
• أحداث الماوس واللمس والتركيز والتمرير
• حركة الجهاز واتجاهه
• خصائص قد تشير إلى أتمتة المتصفح أو الروبوتات

تضمن الكود أيضاً إجراءات لتسلسل النتائج وتشفيرها وإرسالها بواسطة fetch() أو sendBeacon(). وهذا يثبت على جانب العميل إمكانية جمع نطاق واسع من البيانات المناسبة للبصمة وإرساله إلى خدمات Alibaba.

أما ما يحدث على الخادم فلم يثبت. لا يمكن من المتصفح رؤية مدة الاحتفاظ أو الربط اللاحق بالحسابات أو الطلبات أو خدمات Alibaba الأخرى أو الملفات الإعلانية. ويصرح Callaghan بهذا الحد بوضوح.

تذكر سياسة خصوصية AliExpress بيانات المتصفح ونظام التشغيل وخصائص العتاد والبرمجيات ومعرفات الجهاز الفريدة وأنماط الاستخدام والتفاعلات. وتشمل الأغراض، إلى جانب التشغيل والتخصيص، اكتشاف الاحتيال وغسل الأموال والحوادث الأمنية. لا تجعل السياسة التنفيذ التقني المرصود شفافاً، لكنها توضح أن بيانات الجهاز والاستخدام الواسعة جزء من نموذج البيانات الموصوف.

البصمة لا تعني تلقائياً تتبعاً إعلانياً

تُستخدم بصمات المتصفح في سياقات مختلفة جداً. يمكن لشبكات الإعلان التعرف إلى متصفح حتى بعد حذف ملفات Cookie. وتستخدم المتاجر وخدمات الدفع إشارات مشابهة أيضاً لتقييم المخاطر والاستيلاء على الحسابات وإساءة استخدام القسائم والكشط والروبوتات والشراء الآلي.

الغرضان لا يستبعد أحدهما الآخر. يمكن لمعرف الجهاز نفسه أن يخدم مصالح الأمن والتسويق معاً. لكن JavaScript المكتشف لا يثبت حملة إعلانية محددة عبر المواقع. فالقول مباشرة إن «AliExpress تتتبع كل مستخدم عبر جميع المواقع» يتجاوز الأدلة المتاحة.

مع ذلك تظل الحالة إشكالية أمنياً:

• بدأ القياس على الصفحة الرئيسية العامة، لا عند تسجيل الدخول أو الدفع فقط.
• كانت النصوص شديدة التمويه وغير مفهومة عملياً للمستخدم.
• شمل الجمع أكثر بكثير من إشارة واحدة لمكافحة الروبوتات.
• لم يظهر مخطط الصوت النشط بصورة مفيدة في الواجهة، ولم يتوقف بكتم التبويب.
• تدخلت وظيفة خلفية في مسار الصوت المحلي إلى درجة غيرت سلوك عتاد خارجي.

لا تتطلب مكافحة الاحتيال المفهومة بالضرورة نشر دليل تنفيذ، لكنها تتطلب تقليل البيانات وتحديداً واضحاً للغرض وواجهة لا يناقض سلوكها توقعات المستخدم. لا ينبغي لتبويب متجر صامت أن يشغل مسار صوت آنياً.

ما مدى تميز بصمة الصوت هذه فعلياً؟

استخرج مطور Firefox، Tom Ritter، حساب Web Audio المعني وقارنه ببيانات القياس عن بعد في Firefox. وتقلل النتيجة بدرجة كبيرة من الطرح المثير للذعر.

منذ Firefox 118 تستخدم Web Audio مكتبة FDLIBM الرياضية على جميع المنصات لتقليل الفروق المعتمدة على النظام. وفي تحليل Ritter توزع 99.24 في المئة من المستخدمين على ثلاث قيم فقط. وفشل موضع القياس لدى 0.76 في المئة أخرى وأعاد صفراً. ارتبطت المجموعات الثلاث أساساً بفئات CPU: ‏x86 أو x64 بلا FMA، وx64 مع FMA، وARM مع NEON.

بالنسبة إلى طريقة AliExpress المحددة، لم تكن قيمة الصوت في Firefox فردية لدى معظم المستخدمين المدروسين. كانت تكشف فئة معالج عامة أكثر من جهاز بعينه. ومع ذلك بقي ذيل طويل صغير من القيم الأخرى، وقد تجعل القيم النادرة الأنظمة المعنية أكثر تميزاً.

تعتمد البصمة على التركيبات. حجم الشاشة أو المنطقة الزمنية أو فئة CPU أمور عادية منفردة. لكن Canvas وWebGL والخطوط وبيانات العتاد وخصائص المتصفح وأنماط التفاعل وتسجيل الدخول القائم قد تصبح معاً أكثر قدرة على التمييز. لذلك لا يلزم أن تكون قيمة Web Audio فريدة كي تظل مفيدة في النتيجة الإجمالية.

حماية المتصفح سباق تسلح له آثار جانبية

تتبع المتصفحات استراتيجيات مختلفة. يوحد Firefox بعض الحسابات ويحظر خدمات بصمة معروفة. ومنذ Firefox 145 تُفعل الحماية الأوسع أولاً في الوضع الخاص ومع الحماية المشددة من التتبع. وتؤكد Mozilla أن التوحيد الأكثر شدة قد يكسر وظائف مشروعة.

يغير Brave قليلاً النتائج القابلة للاستخدام في البصمة، مثل قيم Canvas وWeb Audio. يظل ما يسمى Farbling ثابتاً داخل جلسة وموقع، لكنه يعطي نتائج مختلفة بين المواقع والجلسات. تحصل التطبيقات على قيم معقولة، لكن يصعب استخدامها كمعرف عالمي دائم.

يحد WebKit في Safari من عدة سطوح للبصمة، مثل الخطوط المثبتة محلياً وبعض معلومات الجهاز. وفي الواجهات عالية المخاطر قد يمتنع عن التنفيذ كلياً إلى أن يرى طريقة آمنة. وهذا يوضح التعارض الأساسي: الواجهات نفسها التي تتيح تطبيقات ويب معقدة توسع أيضاً سطح القياس في المتصفح.

لا يستطيع متصفح عادي ضمان اختفاء كل البصمات. عند توحيد خاصية ينتقل المزودون إلى خصائص أو إشارات سلوكية أخرى. وقد يجعل مزيج نادر جداً من الامتدادات والخطوط وإعدادات الحماية اليدوية المتصفح أكثر ندرة في أسوأ الحالات.

ما الذي يمكن للمستخدمين فعله؟

الأساس الأفضل متصفح حديث مع تفعيل حماية البصمة. في Firefox يتطلب المستوى الأوسع حماية مشددة من التتبع أو نافذة خاصة. ويفعل Brave ‏Shields ودفاع البصمة افتراضياً. في Safari ينبغي استخدام أحدث إصدار للنظام والمتصفح. ويذهب Tor Browser وMullvad Browser أبعد في الجلسات الحساسة، إذ يحاولان جعل أكبر عدد من المستخدمين يظهرون ضمن مجموعة ببصمة متشابهة. ولهذا يجب عدم إضافة تخصيصات أو امتدادات إضافية إليهما.

النوافذ الخاصة وحدها ليست جواباً كاملاً. فهي تحد الحالة المحفوظة، لكنها لا تخفي خصائص العتاد والمتصفح تلقائياً. وحذف Cookie لا يعيد تعيين البصمة بالطريقة نفسها التي يحذف بها معرف Cookie.

تحل VPN مشكلة أخرى. فهي تستبدل عنوان IP العام الظاهر وتحمي، بحسب الاستخدام، النقل إلى مزود VPN. لكنها لا تغير تلقائياً Canvas أو WebGL أو حسابات الصوت أو الخطوط أو خصائص العتاد. لذلك قد تكون VPN مفيدة، لكنها وحدها لا تحمي من بصمة المتصفح.

حظر النصين بدقة عبر uBlock Origin

نشر Callaghan مرشحين ضيقين عمداً لـ uBlock Origin:

! AliExpress AWSC fingerprinting scripts
||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

بعد إضافتهما تحت مرشحاتي يجب إغلاق علامات تبويب AliExpress المفتوحة. فحظر النص لاحقاً لا ينهي سياق صوت أنشأه من قبل.

هذه القواعد لقطة زمنية. قد تتغير المسارات والإصدارات والأسماء. ولأن النصوص على الأرجح جزء من بنية مكافحة الروبوتات والمخاطر، فقد تظهر اختبارات CAPTCHA إضافية أو مشاكل في الدخول والدفع. إذا تعذر إكمال معاملة مشروعة، يمكن تعطيل القاعدة مؤقتاً لهذه العملية فقط ثم إغلاق التبويب بعدها.

سيكون حظر المضيف كله assets.aliexpress-media.com على مستوى DNS أكثر خشونة بكثير، إذ قد توجد عليه موارد أخرى للمتجر. لذلك قاعدة URL الضيقة أسهل تحكماً من حظر النطاق كاملاً.

تعطيل JavaScript بالكامل نادراً ما يكون عملياً

لا يمكن لهذا القياس العمل من دون JavaScript، لكن المتاجر الحديثة تكاد تتوقف أيضاً. كما ينشئ التعطيل العام حالة متصفح غير معتادة ولا يستبدل الفصل السليم بين الحسابات والملفات والأنشطة الحساسة.

للبحث شديد الحساسية قد يفيد متصفح منفصل قليل التعديل. يحد ذلك من الربط بالملف اليومي، لكنه لا يضمن إخفاء الهوية. يظل عنوان IP وتسجيل الدخول وبيانات الدفع وإشارات الخادم دون تغيير.

النقطة القانونية أوسع من مسألة Cookie

في أوروبا لا تعني عبارة «من دون Cookie» أن الموافقة غير مطلوبة. تتعامل الإرشادات النهائية 2/2023 لمجلس حماية البيانات الأوروبي عمداً مع النطاق التقني للمادة 5(3) من توجيه ePrivacy بصورة أوسع من ملفات Cookie التقليدية. وقد يكون الوصول إلى معلومات مخزنة في الجهاز الطرفي أو مولدة فيه بواسطة البرمجيات والعتاد مهماً أيضاً.

تعتمد مشروعية تنفيذ AliExpress المحدد على الغرض الفعلي والضرورة والتنفيذ الإقليمي لقواعد ePrivacy والشفافية والمعالجة اللاحقة. قد تكون مكافحة الاحتيال غرضاً مشروعاً، لكنها لا تجيب تلقائياً عما إذا كانت كل خاصية تُجمع في الصفحة الرئيسية ضرورية أو تحتاج إلى موافقة.

لا تحل هذه المقالة محل مراجعة قانونية. لكنها تبين تقنياً لماذا لا تعكس لافتات Cookie واقع التعرف الحديث بالكامل. يمكن للمستخدم رفض كل ملفات Cookie التسويقية المرئية، ومع ذلك يُقاس بواسطة JavaScript تابع للموقع نفسه.

أساس الاختبار وحدوده

راجعت التحليل التقني ومعلومات المتصفحات والسياسات العامة آخر مرة في 31 أغسطس 2026. تستند نتيجة AliExpress المحددة إلى اختبار Callaghan الموثق على Windows باستخدام Firefox وChrome وإلى أدواته لواجهة Web Audio. ويضاف إليها تقرير Mozilla المستقل، وتحليل Ritter لطريقة الصوت المستخرجة، وبحث OpenWPM، والوثائق الأصلية من W3C وMozilla وBrave وWebKit وAlibaba Cloud وAliExpress وEDPB.

ظل عنوانا النصين ذوا الإصدار اللذان ذكرهما Callaghan يعيدان HTTP 200 ونوع application/javascript عند فحصي. لكنني لم أشغل النصوص بنفسي على حساب AliExpress مضبوط، ولم أكرر أثر Bluetooth بسماعاتي. قد تتصرف أنظمة أو متصفحات أو مناطق أو اختبارات A/B أو إصدارات نصوص معدلة بشكل مختلف. لم تكن مدة التخزين على الخادم أو التقييم أو ربط الهوية أو استخدام القيم المرسلة ظاهرة، ولذلك ليست استنتاجات مباشرة لهذه المقالة.

خلاصة رأيي

الحالة ليست دليلاً على مراقبة سرية بالموجات فوق الصوتية، ولا على أن قيمة صوت واحدة تحدد كل حاسوب بشكل فريد. لكنها دليل ممتاز على مدى استخدام المواقع الحديثة للمتصفح أداة قياس من دون أن يرى المستخدم شيئاً.

تفسير مكافحة الاحتيال مقنع تقنياً. على سوق كبير مواجهة الروبوتات والاستيلاء على الحسابات واحتيال الدفع وإساءة استخدام القسائم. لكن ذلك لا يبرر تلقائياً كل قياس في كل مرحلة من رحلة العميل. ومن يجمع منذ الصفحة الرئيسية خصائص الصوت والرسوميات والعتاد وWebRTC والسلوك، عليه الإجابة عن أسئلة الضرورة والشفافية والآثار الجانبية.

في النهاية لم تكشف لوحة خصوصية القياس، بل فعل ذلك زوج من سماعات Bluetooth رفض التظاهر بأن المتصفح صامت.

إلى اللقاء في المرة القادمة،
Joe