Każda witryna, która próbuje uzyskać dostęp do kamery i mikrofonu, musi najpierw otrzymać odpowiednie uprawnienia w przeglądarce Google Chrome, chyba że użytkownik ręcznie zablokował oba urządzenia. Gdy sprzęt zostanie aktywowany, na karcie odpowiedzialnej za dany serwis pojawia się mała czerwona kropka. Deweloper pracujący dla AOL odkrył jednak błąd, który pozwala ominąć ten wizualny wskaźnik i uruchomić nagrywanie audio oraz wideo bez wiedzy użytkownika.
Osobiście nie mam kamery podłączonej do komputera stacjonarnego i nigdy nie wymieniłem mikrofonu po tym, jak grawitacja wyjaśniła mi kilka szczegółów na temat integralności fizycznej. Na laptopach historia wygląda jednak zupełnie inaczej – oba akcesoria są tam zintegrowane. Od dawna zestaw kamera-mikrofon bywa postrzegany jako zagrożenie dla bezpieczeństwa; nie brakuje użytkowników, którzy zaklejają obiektyw taśmą, całkowicie wyłączają mikrofon lub otwierają sprzęt, by usunąć te podzespoły. Z drugiej strony istnieje wiele usług online, które w pełni legalnie korzystają z mikrofonu i kamery, nie wymagając żadnych dodatkowych urządzeń. Potrzebują jedynie zgodnej przeglądarki, a ze względu na popularność Google Chrome znajduje się na czele listy.
Błąd we wskaźniku Chrome
Problem polega na tym, że najnowsza wersja przeglądarki ma błąd w wizualnym wskaźniku informującym o dostępie do kamery i mikrofonu. Deweloper webowy z AOL, Ran Bar-Zik, odkrył tę usterkę podczas pracy nad serwisem wykorzystującym WebRTC. Dla tych, którzy nie znają tego rozwiązania, WebRTC to protokół odpowiedzialny za wsparcie strumieniowania audio i wideo w czasie rzeczywistym. W normalnej sytuacji witryna prosi użytkownika o zgodę, a po aktywacji urządzeń na karcie pojawia się mała czerwona kropka. Bar-Zik zauważył, że kod odpowiedzialny za nagrywanie nie musi być uruchamiany w karcie, która w pierwszej kolejności poprosiła o uprawnienie. Google Chrome udostępnia bowiem dostęp do całej domeny, więc zwykły popup w tle w zupełności wystarczy, by nagrywać aktywność użytkownika i uniknąć czerwonego wskaźnika na karcie.
Bar-Zik przygotował dowód koncepcji tutaj, aby każdy zainteresowany mógł sprawdzić, co się dzieje. Choć błąd zgłosił już do Google, odpowiedź była dość chłodna. Mountain View nie traktuje wykorzystywania popupów do nagrywania treści i omijania wskaźnika jako zagrożenia bezpieczeństwa, ponieważ witryna i tak musi najpierw uzyskać zgodę użytkownika. Co więcej, Google Chrome w wersji mobilnej nie ma nawet takiego wskaźnika, choć koncern przyznał, że sytuacja może zostać „zoptymalizowana”. Innymi słowy, poprawka jest prawdopodobna, ale nie jest to sprawa pilna.
