Elke website die toegang wil tot de webcam en de microfoon moet daarvoor in Google Chrome de juiste toestemming krijgen, tenzij de gebruiker beide handmatig heeft geblokkeerd. Wanneer deze apparaten worden geactiveerd, verschijnt er een klein rood puntje in de tab die verantwoordelijk is. Een ontwikkelaar die voor AOL werkt, ontdekte echter een bug waarmee die visuele indicator kan worden omzeild en waarmee audio en/of video kan worden opgenomen zonder dat de gebruiker het weet.
Persoonlijk heb ik geen webcam op mijn desktopcomputer aangesloten en heb ik de microfoon nooit vervangen nadat de zwaartekracht me enkele details over fysieke integriteit heeft geleerd. Maar op laptops ligt dat anders, die hebben beide accessoires ingebouwd. Al geruime tijd wordt de combinatie webcam-microfoon als een veiligheidsrisico beschouwd, en er zijn genoeg gebruikers die tape over de cameralens plakken, de microfoon volledig uitschakelen of het apparaat openen om deze onderdelen te verwijderen. Aan de andere kant zijn er veel online diensten die op een legitieme manier gebruikmaken van de microfoon en de webcam, zonder afhankelijk te zijn van externe onderdelen. Ze hebben alleen een compatibele browser nodig, en vanwege de populariteit staat Google Chrome bovenaan de lijst.
Het probleem is dat een recente versie van de browser een bug heeft in de visuele indicator die de toegang tot webcam en microfoon door een site meldt. Een webontwikkelaar van AOL, genaamd Ran Bar-Zik, ontdekte deze bug terwijl hij werkte aan een site die WebRTC-code uitvoerde. Voor wie het niet kent: WebRTC is het protocol dat realtime audio- en videostreaming ondersteunt. In een normale situatie vraagt de website toestemming aan de gebruiker, en zodra de apparaten zijn geactiveerd, verschijnt er een klein rood puntje in de tab. Bar-Zik ontdekte dat de code om opnamen te maken niet per se onder de tab hoeft te worden uitgevoerd die als eerste om toestemming vroeg. Wat Google Chrome doet, is toegang verlenen aan een heel domein, dus een simpele popup op de achtergrond is meer dan genoeg om de activiteit van de gebruiker op te nemen en de rode indicator in de tab te omzeilen.
Bar-Zik heeft hier een proof of concept gemaakt zodat alle geïnteresseerde gebruikers kunnen zien wat er gebeurt. Hij heeft de bug inmiddels gemeld bij Google, maar de reactie was nogal koel. Mountain View ziet het gebruik van popups om content op te nemen en de indicator te omzeilen niet als een veiligheidsprobleem, omdat de site hoe dan ook vooraf toestemming van de gebruiker nodig heeft. Bovendien heeft Google Chrome in de mobiele versie niet eens die indicator, hoewel het toegaf dat de situatie kan worden 'geoptimaliseerd'. Met andere woorden: waarschijnlijk komt er een aanpassing, maar het is niets dringends.
Bron: Bleeping Computer
