Un son inaudible, le cookie caché d'AliExpress

Tout est parti d'un détail agaçant. Un internaute écoute de la musique sur son téléphone, avec des écouteurs Bluetooth capables de rester connectés à deux appareils en même temps (le fameux mode multipoint). Tant qu'il ne touche à rien, tout va bien. Mais dès qu'il ouvre la page d'accueil d'AliExpress sur son ordinateur, sa musique se coupe. Il ferme l'onglet : le son revient. Il coupe le volume de l'onglet, du navigateur, de Windows : rien n'y fait. Et pourtant, aucune vidéo, aucune musique, aucun lecteur visible sur la page.

Intrigué, il a décidé d'aller voir sous le capot. Ce qu'il a trouvé est un bel exemple de la façon dont le son peut aujourd'hui servir à vous suivre à la trace.

Un son que personne n'entend

Quelques secondes après le chargement, la page crée en douce deux contextes audio (deux AudioContext, dans le vocabulaire du navigateur). Ils proviennent de deux scripts volontairement illisibles, collina.js et fireyejs.js, qui appartiennent à la boîte à outils anti-fraude d'Alibaba, la maison mère d'AliExpress.

Le montage est simple à décrire : un oscillateur produit une forme d'onde connue (une dent de scie, comme celles que l'on peut fabriquer soi-même avec le Generator du site), le signal traverse un analyseur, puis un réglage de volume fixé à zéro, avant d'être envoyé vers la sortie audio. Le volume à zéro, c'est la ruse : vous n'entendez rien, mais le navigateur, lui, traite bel et bien ce petit flux en continu. Assez, semble-t-il, pour garder le canal Bluetooth « occupé » et empêcher les écouteurs de rebasculer proprement vers le téléphone. Comme il n'y a pas de lecteur vidéo classique, le bouton « couper le son » de l'onglet ne sert à rien.

Rassurez-vous : personne n'écoute votre pièce. Le son est fabriqué puis mesuré à l'intérieur du navigateur, de façon purement numérique. Aucun microphone n'entre en jeu.

Le son comme cookie invisible

Pourquoi générer un son que personne n'écoute ? Pour fabriquer une signature. C'est là que le parallèle avec le cookie devient utile.

Un cookie classique, c'est un petit marqueur que le site dépose dans votre navigateur pour vous reconnaître à votre prochaine visite. Son défaut, du point de vue des traqueurs : vous pouvez l'effacer, le bloquer, le remplacer.

Ici, rien n'est déposé chez vous. Le site vous reconnaît autrement : à la manière dont votre machine restitue ce fameux son. Selon votre navigateur, votre système et surtout votre processeur, le calcul du signal produit de minuscules différences. En les résumant en une empreinte (un simple nombre), on obtient un identifiant. C'est un peu comme reconnaître quelqu'un à sa voix plutôt qu'à une carte qu'il porterait sur lui.

Cette empreinte sonore n'est qu'une pièce du puzzle. Les mêmes scripts mesurent aussi le rendu graphique, la taille de l'écran, la mémoire, le nombre de cœurs du processeur, les mouvements de la souris et bien d'autres détails, avant de tout envoyer aux serveurs d'Alibaba. Mis bout à bout, ces signaux dessinent un portrait assez précis pour vous suivre d'une page à l'autre, sans le moindre cookie. Le son inaudible détourné en outil de mesure, ce n'est d'ailleurs pas une première : j'en parlais déjà à propos du signal inaudible qui mesure nos audiences dans la radio et la télévision.

Pourquoi passer par le son

On pourrait se demander pourquoi aller chercher le son pour ça, alors que d'autres mesures existent. La réponse tient à une petite bizarrerie : le traitement audio est un calcul, et ce calcul ne tombe jamais tout à fait pareil d'une machine à l'autre. Le moteur audio du navigateur, la version du système, le jeu d'instructions du processeur, tout cela laisse des traces infimes sur la forme d'onde restituée. Une dent de scie parfaitement identique au départ ressort donc très légèrement différente selon l'appareil. Il suffit de mesurer cet écart pour obtenir une signature. Le son devient une sorte d'empreinte digitale, sauf qu'il ne s'agit pas d'un doigt mais d'une façon de calculer.

Une empreinte de plus en plus muette

Curieusement, ce petit tour de passe-passe fonctionne de moins en moins bien. Un développeur de Firefox, Tom Ritter, s'est penché sur cette empreinte précise : sur son navigateur, elle ne distingue presque plus personne. Depuis la version 118, Firefox force le calcul audio à donner le même résultat pour tout le monde. Dans son relevé, plus de 99 % des utilisateurs se retrouvent sur seulement trois valeurs, et les rares écarts tiennent à des détails de processeur. Le son, ici, est devenu trop uniforme pour trahir grand monde.

C'est le vrai paradoxe de l'affaire : un son que personne n'entend, censé reconnaître un appareil, s'est fait repérer non pas parce qu'il identifiait trop bien, mais parce qu'il coupait la musique. L'oreille, elle, ne s'y est pas trompée.

Qu'un son inaudible puisse à la fois servir de carte d'identité et gêner une paire d'écouteurs, voilà qui en dit long sur tout ce que le son fabrique dans nos machines, hors de notre écoute. Connaissez-vous d'autres usages du son pensés pour rester, justement, totalement silencieux ?