ウェブプライバシーの向上に取り組んでいる技術者たちは、人間の可聴範囲を超える音が、制限するほどのプライバシーリスクをもたらすかどうかを判断できていない。
人間は一般的に20Hzから20,000Hzの音波を聞き取ることができますが、個人差があります。人間の可聴域を下回る音波は超低周波音、上回る音波は超音波と呼ばれます。
数年前、デジタル広告会社は超音波信号を使って、デバイスをまたいで人々の興味を追跡し始めました。例えば、テレビCMが聞こえない信号を発信すると、近くのスマートフォンがそれを拾ってアプリに送信し、アプリは所有者の広告ターゲティングプロフィールを更新して、視聴内容と視聴時間に関する情報を収集します。今では、誰かがテレビの料理番組に夢中になっているのか、ニュース番組に熱中しているのか、犯罪ドキュメンタリーが好きなのか、などといった情報がわかるようになりました。
2016年にアメリカの貿易監視機関FTCが出した警告と、翌年に発表された超音波ビーコンを密かに盗聴する234個のAndroidアプリを特定する調査は、聞こえない追跡を阻止するのに役立った。
SilverPushなど、プライバシーを侵害する行為で非難された企業のいくつかは、すでに他のサービスに移行しています。しかし、モバイルデバイスと無音で通信するコードを作成することは、ネイティブアプリとウェブアプリの両方において依然として可能です。コンピューターセキュリティ研究者は、無音をデータ窃取に利用する新たな方法を模索し続けています。また、超音波は依然として正当な操作に利用されています。例えば、GoogleのCastアプリは、近くのChromecastとペアリングする際に超音波トークンを使用しています。
MIT CSAILのWebセキュリティエンジニアであり、W3Cのプライバシー利益団体（PING）のメンバーでもあるサミュエル・ワイラー氏は最近、Web Audio APIを許可なく超音波信号を生成したり聴いたりできないように制限することについての議論を再開するよう強く求めました。
スマートフォンが起動し、アシスタントがテキストメッセージを読み上げ始める。周りの人に向けて。あなたはパニックに陥る。どうやって？超音波だ。
続きを読む
ワイラー氏は、インターネットユーザーに対し、聞こえない音声を処理するためにWeb Audio APIの使用を明示的に有効化するよう促す可能性を示唆した。彼の懸念は、検知不可能な音声通信がデバイスフィンガープリンティング、2つの異なるデバイスが互いに近接しているかどうかの識別、そして同一デバイス上の異なるアプリ間の秘密通信を阻止するコンテキスト境界の侵害に利用される可能性があることだ。
彼はまた、秘密通信に悪用される可能性のある可聴スペクトル内の隠された音についても質問したが、これは別の技術的な課題である。
ワイラー氏は3週間前にこの問題を提起しました。これは、Web Audio APIのフィンガープリンティング領域を縮小するという、より広範な議論の一環と言えるでしょう。そして先週、この議論スレッドは、Googleのソフトウェアエンジニアであり、W3Cのオーディオワーキンググループの共同議長を務めるレイモンド・トイ氏によってクローズされました。
トイ氏は、開発者が特定のオーディオサンプリングレートの使用を許可されている場合、追加の許可は不要であると主張しました。結局のところ、許可を求めるプロンプトを好んで利用するユーザーはほとんどいないからです。また、議論に参加した他のウェブ開発者は、利用可能な周波数範囲を制限すると位相シフトや遅延が発生する可能性があり、すべての人に適した下限値や上限値は存在しないという懸念を示しました。
ブレイブソフトウェアのプライバシー研究者であり、PINGの共同議長でもあるピーター・E・スナイダー氏は、 The Registerへの電子メールの中で、聞こえない音がプライバシーに及ぼす影響についてワイラー氏と懸念を共有していると述べた。
「ウェブオーディオと超可聴音に関しては、人間の知覚を超えた音声がプライバシーを侵害する様々な目的に利用される可能性があるため、懸念を抱いています」とスナイダー氏は述べた。「SilverPushのような企業はこうした技術を商用化しており、他の企業も実際に使用されていることを記録しています。」
「このような技術は、クロスドメイントラッキングにも使用される可能性があります。つまり、サイトが超可聴音を送信し、それを他の開いているページが聞き取ることができるようにすることで、Brave（および他のプライバシー重視のブラウザ）がユーザーを保護しようとしているようなクロスサイトトラッキングが可能になります。」
関連して、Brave ブラウザは最近、ブラウザ フィンガープリンティングの有用性を減らすために、さまざまな Web Audio API に少量のランダム化を追加しました。
Web Audio ワーキング グループがオーディオ周波数ベースの許可の可能性を再検討するかどうかに関わらず、関係者は他のすべての未解決のブラウザ プライバシーの懸念に対処するのに手一杯になるでしょう。®
