Ogni sito web che tenta di accedere a webcam e microfono deve ottenere l'autorizzazione appropriata in Google Chrome, a meno che l'utente non abbia bloccato entrambi manualmente. Quando questi dispositivi vengono attivati, appare un piccolo punto rosso nella scheda responsabile. Tuttavia, uno sviluppatore che lavora per AOL ha scoperto un bug che consente di aggirare questo indicatore visivo e avviare la registrazione di audio e/o video senza che l'utente lo sappia.
Personalmente non ho una webcam collegata al mio computer fisso e non ho mai sostituito il microfono da quando la gravità gli ha spiegato alcuni dettagli sull'integrità fisica. Ma la storia è molto diversa sui laptop, che hanno entrambi gli accessori integrati. Da tempo la combinazione webcam-microfono è considerata un rischio per la sicurezza, e non mancano utenti che applicano del nastro adesivo sulla lente della fotocamera, disabilitano completamente il microfono o aprono il dispositivo per rimuovere questi componenti. D'altra parte, ci sono molti servizi online che fanno un uso legittimo di microfono e webcam, senza dipendere da elementi esterni. Tutto ciò di cui hanno bisogno è un browser compatibile e, per motivi di popolarità, Google Chrome è in cima alla lista.
Il problema è che una versione recente del browser presenta un bug nell'indicatore visivo che segnala l'accesso alla webcam e al microfono da parte di un sito. Uno sviluppatore web di AOL di nome Ran Bar-Zik ha scoperto questo bug mentre lavorava su un sito che eseguiva codice WebRTC. Per chi non lo sapesse, WebRTC è il protocollo che fornisce supporto allo streaming di audio e video in tempo reale. In una situazione normale, il sito web chiede il permesso all'utente e, una volta attivati i dispositivi, appare un piccolo punto rosso nella scheda. Bar-Zik ha rilevato che il codice per effettuare registrazioni non deve essere eseguito sotto la scheda che ha chiesto il permesso in primo luogo. Ciò che fa Google Chrome è abilitare l'accesso a un intero dominio, quindi un semplice popup in background è più che sufficiente per registrare l'attività dell'utente ed evitare l'indicatore rosso nella scheda.
Bar-Zik ha creato una prova di concetto qui affinché tutti gli utenti interessati possano valutare cosa succede, e sebbene abbia già segnalato il bug a Google, la risposta è stata un po' fredda. Mountain View non considera l'uso dei popup per registrare contenuti e aggirare l'indicatore come un problema di sicurezza, perché il sito deve comunque ottenere l'autorizzazione preventiva dell'utente, e Google Chrome non dispone nemmeno di tale indicatore nella versione mobile, anche se ha ammesso che la situazione potrebbe essere 'ottimizzata'. In altre parole, è probabile che ci sia un aggiustamento, ma non è qualcosa di urgente.
