AliExpress bajo la lupa: sonidos inaudibles podrían utilizarse para identificar a los usuarios

 

La privacidad en Internet acaba de encontrarse con una nueva preocupación: los navegadores pueden ser utilizados para identificar a un usuario mediante señales de audio que las personas ni siquiera pueden escuchar.

Investigadores de la Universidad de Texas en San Antonio analizaron una técnica conocida como Audio Fingerprinting, capaz de aprovechar las características particulares del procesamiento de audio de un dispositivo para generar una especie de huella digital.

Lo preocupante es que esta técnica puede funcionar sin que el usuario tenga que escuchar ningún sonido evidente.

El mecanismo se basa en reproducir determinadas señales de audio de frecuencias muy altas, normalmente fuera del rango de audición humana.

Aunque el usuario no escuche nada, el navegador y el sistema operativo procesan esas señales. Las pequeñas diferencias producidas por el hardware, el software y la configuración del dispositivo pueden utilizarse para construir una identificación relativamente única.

Es una idea similar al fingerprinting tradicional del navegador, pero utilizando información relacionada con el sistema de audio.

En teoría, esto podría permitir reconocer un dispositivo incluso cuando el usuario ha eliminado cookies o utiliza mecanismos destinados a limitar el seguimiento.

El asunto adquirió especial relevancia después de que investigadores analizaran páginas web y detectaran comportamientos relacionados con esta clase de técnicas en sitios asociados con AliExpress.

El descubrimiento volvió a poner sobre la mesa una cuestión fundamental: ¿hasta dónde pueden llegar las plataformas publicitarias para reconocer a un usuario cuando las herramientas tradicionales de seguimiento están siendo bloqueadas?

La respuesta puede estar en técnicas que no dependen exclusivamente de las cookies.

Las cookies son relativamente fáciles de controlar. El usuario puede eliminarlas, bloquearlas o utilizar navegadores que restrinjan su utilización.

El fingerprinting funciona de una manera diferente.

En lugar de guardar necesariamente un identificador en el dispositivo, puede intentar obtener información sobre sus características y combinarlas para crear una "huella".

Resolución de pantalla, fuentes instaladas, características del navegador, GPU, sistema operativo y otros parámetros pueden utilizarse para distinguir un dispositivo de otro.

El audio añade una nueva fuente potencial de información.

Aquí es importante hacer una distinción.

La técnica no significa necesariamente que un sonido permita conocer directamente quién es una persona.

Lo que puede conseguirse es reconocer un determinado dispositivo o navegador y asociar posteriormente esa identificación con diferentes visitas.

Por ejemplo, si un sistema consigue reconocer de manera consistente un navegador, podría utilizar esa información para ayudar a relacionar diferentes sesiones de navegación.

Eso es precisamente lo que preocupa a los especialistas en privacidad.

El problema de utilizar sonidos que el usuario no puede escuchar es evidente: la persona puede no saber que su dispositivo está reproduciendo una señal utilizada para identificarlo.

El usuario puede estar navegando normalmente mientras el navegador ejecuta procesos que pasan completamente desapercibidos.

Además, esta clase de técnicas plantea preguntas sobre el consentimiento.

¿Debe una página informar claramente al usuario de que está intentando obtener una huella de su dispositivo?

¿Es suficiente aceptar una política de privacidad general?

¿Puede considerarse realmente informado un consentimiento cuando la técnica utilizada resulta prácticamente invisible?

Son preguntas que probablemente tendrán cada vez más importancia a medida que las tecnologías de seguimiento se vuelvan más sofisticadas.

Los navegadores modernos ofrecen acceso a una enorme cantidad de características del dispositivo.

Esto resulta necesario para que las páginas web funcionen correctamente, pero también puede proporcionar información suficiente para diferenciar un equipo de otro.

El audio es solamente un ejemplo de cómo puede utilizarse el entorno del navegador para obtener información.

La tendencia general es clara: a medida que desaparecen las cookies de terceros, las empresas buscan nuevas formas de reconocer a los usuarios.

Y algunas de esas técnicas son mucho más difíciles de detectar.

No existe una solución perfecta, pero hay algunas medidas que pueden reducir el riesgo.

Utilizar navegadores con protección contra fingerprinting, bloquear permisos innecesarios, limitar la ejecución de scripts de terceros y mantener actualizado el navegador puede dificultar determinadas técnicas de seguimiento.

También es recomendable revisar los permisos concedidos a los sitios web y evitar aceptar automáticamente todas las opciones de seguimiento.

Sin embargo, el problema no puede solucionarse únicamente desde el lado del usuario.

Los navegadores también tienen un papel fundamental a la hora de limitar las capacidades que pueden utilizarse para crear identificadores persistentes.

El caso de AliExpress demuestra que la batalla por la privacidad digital está entrando en terrenos cada vez más sofisticados.

Primero fueron las cookies.

Después llegaron las técnicas de fingerprinting basadas en las características del navegador y del hardware.

Ahora, investigadores están estudiando cómo el propio sistema de audio puede convertirse en una herramienta de identificación.

La tecnología puede ser prácticamente invisible para el usuario, pero sus consecuencias no lo son.

La gran pregunta para los próximos años será si los navegadores consiguen impedir que estas técnicas se conviertan en una nueva generación de mecanismos de rastreo.

En Internet, no escuchar nada no significa necesariamente que el navegador no esté procesando un sonido. Y ese detalle aparentemente invisible podría convertirse en una nueva amenaza para la privacidad.