速卖通仍用已淘汰技术对浏览器指纹识别，但真正的威胁在其他方面

速卖通被逮住使用"幽灵技术"

近期有安全研究人员发现，速卖通正在向访问其网站的浏览器发送人耳无法听见的音频信号——一种其实早已过时多年的指纹识别追踪技术。这一发现源于安全研究人员注意到，该平台仍在依赖早期互联网时代的追踪遗留物。但人们不应该感到欣慰，而应感到担忧：速卖通此刻究竟还在做什么？

这种音频指纹技术的工作原理是，利用操作系统库与不同 CPU 处理音频计算方式之间的微小数学差异。当浏览器播放一段声音时，这些差异会产生一个唯一的可识别签名，与访客特定的软硬件组合绑定在一起。这种方法的强大之处恰恰在于它不留 Cookie、不存储令牌、不留下任何可见痕迹。

Firefox 已在 2023 年发布的第 118 版中修补了这一漏洞。Firefox 开发者、同时也是 Tor 项目志愿者的 Tom Ritter 证实，该浏览器已改用自身的数学库，而不再依赖主机操作系统附带的库。这一改动大幅减少了可供指纹追踪者利用的熵值，从而彻底瓦解了该技术。

Chrome 和 Safari 同样受到保护。Google 发言人确认，Chrome 自带独立的数学库。Safari 很可能得益于相同的架构，但苹果并未立即回应置评请求。

那么，为什么速卖通仍在运行一种过时的指纹识别方法？最合理的解释是，它并非有意为之。这段音频"小把戏"看起来是早期实现方案的残留物——一段在技术本身已经失效后仍未被删除的代码。研究人员之所以能发现它，纯粹是因为他们主动在搜寻。

真正的问题在于速卖通今天到底在用哪些手段

过时的音频指纹识别几乎只是 incidental（附带现象）。真正重要的是速卖通正在使用的更为庞大的活跃追踪手段清单。安全研究员 Callaghan 记录了过去十二种以上目前仍在使用的技术，几乎覆盖了浏览器会话中可以测量的每一个属性。

该平台会收集 canvas 渲染数据和 toDataURL() 输出，通过浏览器绘制图形的方式生成唯一指纹。它会收集 WebGL 渲染器信息、扩展功能和着色器精度——这些细节在不同 GPU 之间存在显著差异。它还会记录屏幕和视口尺寸、设备像素比、硬件并发数和设备内存。它会检查已安装的浏览器插件、支持的音频和视频格式、WebRTC 行为以及浏览器性能计时数据。

它还会追踪鼠标、触控、焦点和滚动事件、设备运动与方向数据，以及通常与浏览器自动化工具相关的属性。所有这些信号，单个而言都能揭示访客的某些信息；而组合起来，则能生成足够精确的画像，足以在跨会话、跨设备，甚至可能在共享同一指纹识别基础设施的不同网站之间，识别出同一个人。

这并非推测。canvas 指纹识别、WebGL 标识以及通过鼠标和滚动模式进行的行为追踪，已在学术研究和行业报告中被反复验证。它们是成熟的追踪技术，已知准确率通常在多个信号组合后超过 90%。

为何此事不限于一个平台

速卖通是中国跨境电商家族的一员，业务覆盖 200 多个国家。其影响范围远超普通西方网购用户。欧洲、拉丁美洲、东南亚和非洲的数百万消费者定期在该平台上浏览和购物。这些人可能缺乏足够的技术认知或工具来保护自己免受此类精密追踪。

其影响远不止商业画像层面。一个能以如此高一致性识别个人访客的平台，可以构建详细的购买历史、地理模式、设备画像和行为倾向。对于生活在威权政体或数据保护法薄弱国家的消费者而言，这类数据并非无害之物。它可能被共享、出售、传票调取或被挪作他用。

欧盟有《通用数据保护条例》（GDPR），加利福尼亚州有《加州消费者隐私法案》（CCPA），巴西有《通用数据保护法》（LGPD）。但这些框架无一针对浏览器指纹识别这一独立的隐私侵犯形式作出直接规范。现有法律语言针对的是 Cookie 和显式数据收集，而非通过软硬件指纹进行的被动识别。速卖通完全可以辩称自己并未收集个人数据——尽管它实际上在没有存储任何传统信息字节的情况下，正在构建一个高度个性化的画像。

这场军备竞赛远未结束

Firefox、Chrome 和 Safari 已修补音频指纹识别技术，这确实是好消息。浏览器制造商正不断开展防御工作，应对日益侵入性的追踪手段。但这场竞赛处于动态之中，远未终结。

网站发布方持续寻找新的攻击向量。当一个指纹识别技术被阻断，另一个便会填补空白。从音频到 canvas，从 canvas 到 WebGL，从静态信号到行为模式的转变，仅仅是实时发生的战术演进中的一小部分。

浏览器开发者正在加强防御措施。Firefox 转向恒定数学库是针对特定攻击的一次定向修复。但更广阔的生态——数千个网站、数百种指纹识别服务、不断演进的 JavaScript API——意味着总会有新的测量维度可供利用。

接下来应该做什么

监管机构需要封堵指纹识别的技术漏洞。当前的数据保护法将通过对浏览器信号的被动识别视为法律灰色地带。这种情况必须改变。指纹识别应被归类为追踪行为，接受与 Cookie 相同的同意要求，并建立明确的执法机制。

浏览器厂商应继续加固默认设置。自动替换数学库、减少音频处理中的熵值、以及更严格的 WebRTC 限制，都是正确方向上的步骤。但仅凭个别浏览器的选择是不够的。一个碎片化的格局——部分浏览器提供强保护而另一些没有——只是将负担转移给了有意识的用户，而非从系统层面解决问题。

包括速卖通在内的平台应为其全部追踪范围承担问责，而不仅仅是那些恰好已过时的技术。音频指纹识别之所以成为新闻，是因为它具象可感。而数十种其他手段早已为人所知。如今的差别在于，一家大型全球零售商被逮住大规模使用了它们。

那无声的声响并非威胁，它只是一个遗迹。真正的监控基础设施是此后的一切——而且仍在运转。