#41 Bueno, técnicamente se llama fingerprint, eTag es un identificador de un recurso (archivo, imagen...) para no reenviarlo si no ha cambiado.
¿Por qué las empresas hacen fingerprint de los usuarios anónimos? En otra respuesta expliqué que en mi caso es para detectar bots y mandarles a cagar para que no me estén comiendo recursos de infra. Los bots cada vez son más sofisticados y saben hacerse pasar mejor por humanos, pero como suelen estar en máquinas similares en la nube, sus máquinas producen los mismos fingerprints.
En el caso de Aliexpress es por el fraduce de cupones. ¿Qué qué? (pongo lo del qué qué porque en mi cabeza suena como un cliffhanger en un vídeo de youtube). Aliexpress gasta millones de yuanes en programas de captación, con cupones de bienvenida, envíos gratis o descuentos del 80% en nuevos usuarios. Y esto causa un problema: hay redes organizadas con botnets y cuentas falsas para canibalizar estas promociones. Y no son fáciles de cazar porque usan VPNs, hacen user-agent spoofing, usan navegadores headless, o incluso playwright, y tienen sus propias bolsas de cookies que van cambiando entre sesiones. Incluso usan números de teléfonos virtuales para el 2FN saltárselo recibiendo el SMS y luego tiran ese número y lo cambian por otro.
¿Qué funciona? El fingerprinting. Igual que lo mío con los bots de scrappers. Este fingerprinting también fufuna en granjas de móviles, porque detectas que es el mismo dispositivo móvil una y otra vez. Si usan emuladores/bluestacks no tienen hardware de audio real, así que se detectan rápido como no-humanos.
Por entender la escala económica del problema, la tasa de abuso de fraude habitual en Aliexpress es de un 5.8%, es decir, de cada 1000 usuarios 58 son bots. En campañas de alto descuentos como las flash sales o las promociones de nuevo usuario, esta tasa se dispara. Las pérdidas económicas por este fraude puede llegar a las decenas de millones al año. Las técnicas de fingerprinting consiguen cazar a bastantes de esos bots y reducir las pérdidas.
#28 khè? He puesto en #16 cómo funciona, y no se parece en nada a lo que has puesto.
Pero entraré más en detalle. En la web de Aliexpress encontrarás que carga tres scripts del AWSC (Alibaba Web Security Center). Dos de ellos hacen uso del audio:
Puedes desofuscar fireyejs.js y obtendrás algo como esto a grandes rasgos, te pongo comentarios en español para entenderlo mejor: // 1. Crea AudioContext (con fallback webkit)
var AudioCtx = window.AudioContext || window.webkitAudioContext;
var ac = new AudioCtx();
// 2. Oscilador en diente de sierra (sawtooth)
var oscillator = ac.createOscillator();
oscillator.type = "sawtooth"; // ← onda rica en armónicos
// 3. Nodo de análisis
var analyser = ac.createAnalyser();
// 4. Procesador de script (callback JS para leer datos)
var processor = ac.createScriptProcessor(4096, 1, 1);
// 5. Ganancia CERO — INSONORO
var gain = ac.createGain();
gain.gain.value = 0; // ← SIN VOLUMEN
// 6. Grafo de audio
oscillator.connect(analyser);
analyser.connect(processor);
processor.connect(gain);
gain.connect(ac.destination); // ← al sistema de audio, pero a volumen 0
// 7. Callback que extrae la huella
processor.onaudioprocess = function(e) {
// Lee los datos espectrales del analizador
var freqData = new Float32Array(analyser.frequencyBinCount);
analyser.getFloatFrequencyData(freqData);
// Cada dispositivo produce valores MICRO-DIFERENTES
// por las imperfecciones del hardware de audio (DAC, drivers, sample rate)
// → Eso ES la huella digital
// Hace hash de los valores → device ID único
// Lo envía a los servidores de AWSC
};
En collina.js también se crean (y destruyen) AudioContext. Así que el flujo final sería:
1.… » ver todo el comentario
#20 En realidad lo de "para qué quieren rastrearte" es una pregunta compleja.
En mi caso los he implementado en el pasado. ¿Por qué? Porque mucho tráfico que había no eran personas sino bots haciendo scrapping. Y eso hacía que tuviésemos que pagar más infra solo para dar servicio a los puñeteros bots.
El problema es que los bots cada vez son más y más, y más listos, y más y más baratos. Por 5€ al mes en hetzner la peña se pone sus bots a rascarte la web con playwright simulando ser un humano. Por suerte, como muchos usan la misma nube con mismo tipo de máquina y mismo todo, se pueden identificar aunque simulen ser un humano.
Tremenda no-noticia. En realidad es parte del proceso anti-fraude de Alibaba.
No es que haya un "audio inaudible", el audio se genera en el propio navegador, normalmente un diente de sierra.
El método es que al producir ese audio, hay ligeras diferencias con el original que van a depender del navegador, la CPU, el SO, el hardware de audio, los drivers...
Ejemplo: queremos generar la señal [1.000000, 0.923817, 0.817293...], pues en algunas máquina se generará [1.000001, 0.923817, 0.817296...] en otras puede que sea [1.000000, 0.923816, 0.817295...], y eso va generando diferencias entre máquinas.
Pero vamos, no es el único método que se usa para fingerprinting de los usuarios. También está el canvas fingerprinting, que es crear un canvas oculto en el que pinta cosas (gradientes, transparencias,...) y eso va a generar colores diferentes según la máquina.
Más moderno es aprovecharse de WebGL y ejecutar shaders y mirar las diferencias de los resultados.
De mis favoritos es el favicon o el logo con algún pixel cambiado por cada usuario. Imagina que a tu web le piden "oye, dame el logo", pues lo que haces es generar ciertos píxeles distintos imperceptibles porque el cambio de color es mínimo, y se lo das. Cuando el navegador lo almacena lo cachea, y cuando se carga de nuevo la página no se pide "oye, dame el logo", le va a decir "oye, dame el logo, pero ya tengo uno cuyo eTag es...". Pues este eTag es diferente dependiendo de los píxeles que hayas cambiado, como a cada usuario le has dado una imagen diferente, cada usuario va a tener un eTag único que le identifica.
#32 Fallo mío porque no me expresé bien. No están tan preparadas como en otros lugares más propensos a sufrir seísmos. He vivido terremotos en Tokio de más de 6, y los edificios ni se inmutan. En cambio en Granada con el del otro día, el edificio de mis suegros ha quedado todo agrietado.
#5 Ojo que "ligero" puede sonar a que eso no es nada, pero ya es mayor que micro y que mini. Ligero va de 4.0 a 4.9. Pero esa escala solo mide la magnitud, pero no otros factores como la profundidad o el tipo de suelo. La magnitud es la energía total liberada en el foco, mientras que la intensidad es cuánto movimiento y daño se experimenta en un punto concreto.
En Granada un terremoto de 4.6 ya es importante, sobre todo porque ha sido en la superficie. Las construcciones no están preparadas para terremotos, aparecen grietas en los edificios, algunos trozos de fachada se desprenden, y las juntas de dilatación pueden abrirse más de lo previsto.
#104 Opinión que deja claro el pensamiento de El Xokas... Era una entrevista de La Pija y la Quinqui en la que Expósito dijo que no dialogaría con un nazi, porque le haces creer que ser nazi es algo normal. Y claro, eso ofende a los nazis, ¿verdad Xokas?
#14 Solo vengo a recordar que el dominio al que las balizas V-16 envían los datos no está registrado a nombre de la DGT o de una empresa, sino del informático.
Muchas veces no es por el dinero, es por las trabas burocráticas para avanzar en algo. No solo en el sector público, en grandes empresas yo me sorprendía de lo complejo que era y los meses que llevaba algo que a una startup le llevaría unos minutos.
Si la homosexualidad es un trastorno o una enfermedad, según ellos, la gente podría pillarse bajas laborales alegando "es que me siento homosexual". Los de vox deberían darle una vueltita a eso.
#45 si tienes discord, se pueden organizar cosas online. Ejemplo, el Dune Imperium tiene videojuego, a veces organizo partidas de sunderfolk (mazmorreo de cartas, tipo gloomhaven pero en sencillo y más infantil), y precisamente ando preparando una partida iniciática de la llamada de cthulhu.
Gracias a Eru yo tengo un grupito en prrsona pero sí es cierto que si conseguimos reunirnos dos veces al mes es un milagro.
#7 bueno, pero Dominion es un deck-builder y Magic es un TCG.
Tienes otras opciones de deck-building chulas, como Star Realms o Ascension. Yo tengo incluso uno más raro que es Miskatonik School for girls, en el que puedes "contribuir" a la elaboración del mazo de tus enemigos metiéndoles putaditas en el mazo.
Luego hay otros que combinan deck-building y tablero. De estos mi favorito es el Dune: Imperium, que es una mezcla de deck-building y eurogame de colocación de trabajadores. Otro ejemplo sería Clank! que combina con mazmorreo.
Y ahora ya en serio, píllate el Dune Imperium, es una maravilla.
Ah mierda, se me olvidó mencionar Arkham Horror. Es un agujero de gastar dineros en cajas de expansión. Y un sumidero de horas jugando. Es genial.
Es el problema de las guerras asimétricas actuales: Los sistemas de millones de dólares que eran perfectos cuando se instalaron, a día de hoy pueden ser atacados por un enjambre de sistemas de unos pocos cientos o menos de dólares. Al final, es un desgaste, por lo que económicamente no merece la pena ir a la guerra contra otro país. Aunque bueno, merece la pena si tienes intereses en industria armamentística, y sabes que destruyendo tus propias infraestructuras bélicas te vas a llevar un pellizco con la inversión del rearme.
No contrata a gente de izquierdas ni de ningún otro palo político, porque no contrata a nadie. Trabaja como falsa autónoma en una empresa.
Es lo que tiene tratar de monetizar tiktok o instagram, que los contenidos que más visitas (y por tanto dinero) dan son los polémicos. Así que para ganarse un poquito de pan extra tienes que tirar de estas cosas.
#8 Vaya. El Bloodborne lo terminé dedicándole 53 horas en la primera run. Así que al final es una cuestión de paciencia e ir avanzando.
Vayamos ahora con el Ghosts'N Goblins. Voy a diferenciar dos versiones: la de NES y la de Arcade. La de NES está suavizada, y sí sería comparable a Bloodborne.
La de arcade: no sé cuántas horas le habré dedicado de pequeño, pero creo que la inversión de dinero fue brutal. Y esa inversión ha seguido de mayor: me compré una máquina arcade solo para jugar a este maldito juego y al Time Crisis. Y ahí estoy, echándole horas al Ghosts'N Goblins.
Pero es que si la versión de arcade ya es bastante más jodida que el Bloodborne, resulta que sacaron una versión con mecánicas y escenarios del Ghosts'N Goblins y del Ghouls 'n Ghosts: el Ghosts'N Goblins Resurrection. Prueba a jugar a este. Tengo pesadillas con el puto Tokuro Fujiwara.
Ghost'n Goblins no necesita tantas horas para terminarlo como Bloodborne. Pero los niveles de estrés que genera, y la dificultad, son brutales. Al Bloodborne le daba cómodamente en el sofá y solo en ocasiones la postura de la gamba. El Ghost'n Goblins de arcade es capaz de hacer que sude (sobre todo las manos), y termino con contracturas de la tensión.
Es curioso como el tono de la noticia parece estar orientado a que el deterioro sea cosa solo de los grafitis. Que ojo, también, hay que ser muy mierda seca para hacer un grafiti en una pieza histórica.
Pero el mayor deterioro no son los grafitis. La muralla se ha ido erosionando y se ha derrumbado parcialmente en varios trozos sin que el ayuntamiento haga absolutamente nada.
La última restauración se ejecutó en 2005 cuando el alcalde era José Torres Hurtado, que estuvo de alcalde 13 o 14 años. Pero tiene truco: el proyecto de restauración se había aprobado en 2002 con alcaldía del PSOE (José Enrique Moratalla Molina). Ojo, que luego ha estado también el PSOE en el ayuntamiento, y tampoco han movido un dedo por cuidar de su patrimonio cultural.
Y de vuelta al tema de que la noticia está redactada de forma capciosa, incluyen 2 fotos que han cogido de la web de listaroja (listaroja.hispanianostra.org/ficha/muralla-nazari/), curiosamente 2 fotos con grafitis, pero omiten las fotos de erosión o derrumbamiento. Agrego yo foto de partes que no tienen grafitis y están en la mierda.
#7 Músico va a EEUU con visa de turista a tocar gratis en un concierto de índole cultural. Se le deniega la entrada.
"Despite having all the necessary documentation and clear evidence of the cultural and non-commercial nature of our project,"
"Wiley said that for several of the local concerts, Skuta was going to perform for free."
El oficial que le interrogó y mandó para casa dijo:
"Performing in the United States constitutes work and requires the appropriate employment-based visa"
Es decir, para él constituye trabajo una actividad no retribuida. Yo silbé una tonadilla por las calles de San Francisco, ¡podrían haberme detenido!
Por otro lado supongamos que sí, que hacer algo gratis es considerado trabajo. ¿Hacía falta retenerle e interrogarle durante horas? ¿O era tan sencillo como "pa tu casa"? Cuando sabes que vas a enviar a alguien a casa diga lo que diga, el interrogatorio y la retención se hace por puro placer de personas sádicas.
#41 Pues mi diría que me lo como con patatas... Pero si compruebas mayo de 2023 tal y como él indica, a ver si encuentras un instante puntual con una generación renovable tan bruta como el momento del apagón.
¿Por qué las empresas hacen fingerprint de los usuarios anónimos? En otra respuesta expliqué que en mi caso es para detectar bots y mandarles a cagar para que no me estén comiendo recursos de infra. Los bots cada vez son más sofisticados y saben hacerse pasar mejor por humanos, pero como suelen estar en máquinas similares en la nube, sus máquinas producen los mismos fingerprints.
En el caso de Aliexpress es por el fraduce de cupones. ¿Qué qué? (pongo lo del qué qué porque en mi cabeza suena como un cliffhanger en un vídeo de youtube). Aliexpress gasta millones de yuanes en programas de captación, con cupones de bienvenida, envíos gratis o descuentos del 80% en nuevos usuarios. Y esto causa un problema: hay redes organizadas con botnets y cuentas falsas para canibalizar estas promociones. Y no son fáciles de cazar porque usan VPNs, hacen user-agent spoofing, usan navegadores headless, o incluso playwright, y tienen sus propias bolsas de cookies que van cambiando entre sesiones. Incluso usan números de teléfonos virtuales para el 2FN saltárselo recibiendo el SMS y luego tiran ese número y lo cambian por otro.
¿Qué funciona? El fingerprinting. Igual que lo mío con los bots de scrappers. Este fingerprinting también fufuna en granjas de móviles, porque detectas que es el mismo dispositivo móvil una y otra vez. Si usan emuladores/bluestacks no tienen hardware de audio real, así que se detectan rápido como no-humanos.
Por entender la escala económica del problema, la tasa de abuso de fraude habitual en Aliexpress es de un 5.8%, es decir, de cada 1000 usuarios 58 son bots. En campañas de alto descuentos como las flash sales o las promociones de nuevo usuario, esta tasa se dispara. Las pérdidas económicas por este fraude puede llegar a las decenas de millones al año. Las técnicas de fingerprinting consiguen cazar a bastantes de esos bots y reducir las pérdidas.