AliExpress Sessiz Ses Dalgalarıyla Kullanıcı Takibiyle Suçlanıyor: Bluetooth Kulaklıkları Susturan Gizli Teknik

📌 Öne Çıkan Gelişmeler

• Yazılımcı Matt Callaghan, AliExpress web sitesini ziyaret ettiğinde Bluetooth kulaklığının telefonundan gelen ses akışının aniden kesildiğini fark ederek araştırmaya başladı.
• Alibaba'nın gizlilik önlemi kisvesi altında, tarayıcıda sessiz bir dişli (sawtooth) dalga formu üreterek işitsel parmak izi topladığı ortaya çıktı.
• Mozilla Firefox ve Brave gibi gizlilik odaklı tarayıcılar, bu tür gelişmiş izleme tekniklerine karşı halihazırda çeşitli güvenlik kalkanlarına sahip olduklarını duyurdu.

Dijital dünyada kullanıcı gizliliği, her geçen gün daha karmaşık ve sinsi tehditlerle karşı karşıya kalıyor. Geleneksel çerezlerin (cookies) yavaş yavaş tarih sahnesinden çekilmesi veya ciddi regülasyonlarla kısıtlanması, reklam ağlarını ve büyük e-ticaret platformlarını çok daha yaratıcı ve görünmez izleme yöntemleri bulmaya iterken, bu durumun en son ve en çarpıcı örneği Çin merkezli dev e-ticaret platformu AliExpress etrafında patlak verdi. Yazılım mühendisi Matt Callaghan'ın tesadüfi dikkati sayesinde gün yüzüne çıkan olay, modern web tarayıcılarının arka planında dönen gizli operasyonları bir kez daha gözler önüne serdi.

Sessiz Frekansların Ardındaki Gizli İzleme Mekanizması

Olayın merkezindeki teknik detaylar, modern web teknolojilerinin kötüye kullanım potansiyelini açıkça kanıtlar nitelikte. Yazılımcı Matt Callaghan, bilgisayarı ve telefonu arasında çoklu bağlantı (multipoint) kurabilen Bluetooth kulaklığında yaşadığı garip bir ses kesintisi problemi üzerine konuyu derinlemesine incelemeye karar verdi. Normal şartlarda bilgisayar boşta olduğunda telefonundan müzik dinleyebilmesi gerekirken, ne zaman tarayıcısında (Firefox veya Chrome) bir AliExpress sayfası açsa, telefonundaki ses akışı anında kesiliyordu. Sayfada görünürde herhangi bir video, müzik veya medya oynatıcısı olmamasına rağmen bu durumun tekrarlanması, Callaghan'ı sayfanın kaynak kodlarını incelemeye itti.

Yapılan detaylı incelemeler, Alibaba'nın tarayıcı güvenliği ve kötüye kullanım önleme araçları arasına son derece karmaşık ve gizlenmiş (obfuscated) JavaScript dosyalarının gömüldüğünü ortaya koydu. Bu script'ler, tarayıcının WebAudio API'sini kullanarak arka planda bir ses grafiği (WebAudio graph) oluşturuyor ve sisteme bir dişli dalga (sawtooth oscillator) osilatörü yerleştiriyordu. Oluşturulan dalga formu, tarayıcının ses motorundan geçirildikten sonra bir analizör vasıtasıyla ölçülüyor ve frekans verileri okunuyordu. İşin en sinsi kısmı ise sesin kazancının (gain) sıfıra ayarlanmasıydı; yani kullanıcı hiçbir şey duymuyordu ancak tarayıcı aktif olarak bir ses işleme süreci yürütüyordu.

Parmak İzi Teknolojisi ve Donanım Verilerinin Toplanması

İşitsel parmak izi (audio fingerprinting), cihazların donanımsal ve yazılımsal bileşenlerinin ses işleme sırasındaki mikro düzeydeki farklılıklarını kullanarak benzersiz bir kimlik (hash) oluşturma yöntemidir. Her işlemcinin, ses kartının ve tarayıcı motorunun dalga formlarını işlemesi sırasında oluşan kusurlar veya benzersiz karakteristikler, kullanıcının internet genelinde anonim kalmasını imkansız hale getiriyor. Callaghan'ın tespitlerine göre AliExpress'in kodları sadece ses verisi toplamakla kalmıyor; aynı zamanda ekran çözünürlüğü, cihaz belleği, tarayıcı eklentileri, WebGL render motoru ve fare hareketleri gibi bir dizi kritik veriyi de harmanlıyordu.

Tüm bu toplanan verilerin şifrelenerek şirketin telemetri servislerine gönderilmesi, durumun masum bir güvenlik önleminden ziyade kapsamlı bir cihaz profili çıkarma (device fingerprinting) faaliyeti olduğunu net bir şekilde ortaya koyuyor. Özellikle e-ticaret sitelerinin kullanıcıları cihazlar arası takip edebilmesi, reklamcılık ve hedefli pazarlama açısından büyük bir avantaj sağlasa da, bireysel gizlilik haklarını ve veri mahremiyetini doğrudan ihlal eden bir uygulama olarak dikkat çekiyor. Donanım seviyesindeki bu izleme faaliyeti, kullanıcıların tarayıcı sekmelerini sessize alarak veya kapatarak kaçamayacağı kadar derin bir seviyede gerçekleştiriliyor.

Tarayıcı Üreticilerinin Savunma Mekanizmaları ve Sektörün Durumu

Yaşanan bu skandal gelişmenin ardından gözler ana akım web tarayıcılarının aldığı güvenlik önlemlerine çevrildi. Mozilla Firefox ekibinden güvenlik mühendisi Tom Ritter, tarayıcının daha önce devreye soktuğu anti-parmak izi teknolojilerinin bu tarz WebAudio tabanlı takip girişimlerini büyük ölçüde etkisiz kıldığını açıkladı. Firefox, bu tür saldırıları engellemek yerine kullanıcıları belirli donanım kategorilerine ("bucket") ayırarak herkesin aynı parmak izi profilini paylaşmasını sağlıyor. Bu sayede, milyonlarca kullanıcı aynı donanım özelliklerine sahipmiş gibi görünüyor ve takipçiler kalabalık arasında kimin kim olduğunu ayırt edemiyor.

Bununla birlikte, dünya genelinde bu kategorizasyonun dışına çıkan çok küçük bir kullanıcı azınlığı (yüzde 1'in altındaki nadir donanım kombinasyonları veya mimariler) hâlâ bu tür gelişmiş parmak izi tekniklerine karşı savunmasız kalabiliyor. Benzer şekilde, gizlilik odaklı tarayıcı geliştiricisi Brave de yıllardır bu tür izleme yöntemlerine karşı otomatik korumalar sunduklarını, AliExpress'in kullandığı belirli izleme script'lerinin varsayılan olarak engellendiğini duyurdu. Google Chrome ve Apple Safari gibi diğer devlerin ise bu tür spesifik ses tabanlı sızıntılara karşı ne derece etkili savunmalara sahip olduğu endüstri genelinde hâlâ tartışma konusu olmaya devam ediyor.

💡 Mercek360 Sektörel Değerlendirmesi

AliExpress’in sessiz ses dalgalarıyla kullanıcı parmak izi topladığına yönelik bu son iddia, web üzerindeki dijital gözetim mekanizmalarının ne kadar sinsi boyutlara ulaştığını acı bir şekilde gözler önüne seriyor. Geleneksel çerezlerin sonunun gelmesi, reklam teknolojileri endüstrisini tarayıcı tabanlı donanım ve yazılım özelliklerini sömüren parmak izi yöntemlerine yönlendiriyor. WebAudio gibi görünüşte masum ve zengin medya deneyimleri sunmayı amaçlayan API'lerin bu şekilde kötüye kullanılması, teknoloji devlerinin kullanıcı rızasını hiçe sayarak veri toplama iştahının hâlâ doymak bilmediğinin kanıtıdır.

Uzun vadede, bu tür olayların artması tarayıcı geliştiricileri ile büyük e-ticaret ve reklam platformları arasındaki kedi-fare oyununu daha da kızıştıracaktır. Firefox ve Brave gibi öncü projeler kullanıcılarını korumak için havuzlama ve rastgele veri enjeksiyonu gibi akıllı taktikler geliştirse de, Chrome gibi pazar payının çoğunluğunu elinde tutan tarayıcıların daha agresif ve standartlaştırılmış gizlilik politikaları benimsemesi şarttır. Aksi takdirde, internet kullanıcıları her web sitesini ziyaret ettiğinde, cihazlarının donanım kusurları üzerinden sessizce fişlenmeye devam edecektir.