Jede Website, die auf die Webcam und das Mikrofon zugreifen möchte, benötigt in Google Chrome die entsprechende Autorisierung – es sei denn, der Nutzer hat beide Geräte manuell blockiert. Sobald diese Geräte aktiviert werden, erscheint ein kleiner roter Punkt im jeweiligen Tab. Doch ein Entwickler, der für AOL arbeitet, hat einen Bug entdeckt, der diese visuelle Anzeige umgeht und die Aufzeichnung von Audio und/oder Video starten kann, ohne dass der Nutzer es bemerkt.
Ich persönlich habe keine Webcam an meinem Desktop-Computer angeschlossen und habe das Mikrofon nach einem physikalischen Vorfall nie ersetzt. Aber bei Laptops, die beide Geräte eingebaut haben, sieht die Geschichte anders aus. Schon lange gilt die Kombination aus Webcam und Mikrofon als Sicherheitsrisiko, und es gibt Nutzer, die ein Klebeband über die Kameralinse kleben, das Mikrofon komplett deaktivieren oder das Gerät öffnen, um die Komponenten zu entfernen. Auf der anderen Seite gibt es viele Onlinedienste, die Mikrofon und Webcam legitim nutzen, ohne auf externe Geräte angewiesen zu sein. Sie benötigen nur einen kompatiblen Browser, und aus Beliebtheitsgründen steht Google Chrome ganz oben auf der Liste.
Der Bug
Das Problem ist, dass eine aktuelle Version des Browsers einen Bug in der visuellen Anzeige hat, die den Zugriff auf Webcam und Mikrofon durch eine Website meldet. Ein Webentwickler von AOL namens Ran Bar-Zik entdeckte diesen Bug, als er an einer Website arbeitete, die WebRTC-Code ausführte. Für diejenigen, die es nicht kennen: WebRTC ist das Protokoll, das Streaming von Audio und Video in Echtzeit unterstützt. In einer normalen Situation fragt die Website den Benutzer um Erlaubnis, und sobald die Geräte aktiviert sind, erscheint ein kleiner roter Punkt im Tab. Bar-Zik erkannte, dass der Code für Aufnahmen nicht unter dem Tab ausgeführt werden muss, der zuerst um Erlaubnis gebeten wurde. Google Chrome gewährt den Zugriff auf eine gesamte Domain, daher reicht ein einfaches Popup im Hintergrund aus, um die Aktivität des Benutzers aufzuzeichnen und den roten Indikator im Tab zu umgehen.
Die Reaktion von Google
Bar-Zik hat hier einen Proof of Concept erstellt, damit alle interessierten Nutzer das Verhalten testen können. Obwohl er den Bug bereits an Google gemeldet hat, war die Antwort etwas kühl. Mountain View sieht die Verwendung von Popups zur Aufzeichnung von Inhalten und die Umgehung des Indikators nicht als Sicherheitsproblem an, da die Website zuvor unbedingt die Autorisierung des Nutzers benötigt. Google Chrome hat nicht einmal einen solchen Indikator in der mobilen Version, räumte aber ein, dass die Situation „optimiert“ werden könnte. Mit anderen Worten: Es wird wahrscheinlich eine Anpassung geben, aber es ist nichts Dringendes.
