Todo site que tenta acessar a webcam e o microfone precisa ter a autorização adequada no Google Chrome, a menos que o usuário tenha bloqueado ambos manualmente. Quando esses dispositivos são ativados, aparece um pequeno ponto vermelho na aba responsável. No entanto, um desenvolvedor que trabalha para a AOL descobriu um bug que permite contornar esse indicador visual e iniciar a gravação de áudio e/ou vídeo sem que o usuário saiba.
Pessoalmente, não tenho uma webcam conectada ao meu computador de mesa, e nunca substituí o microfone depois que a gravidade se encarregou de explicar alguns detalhes sobre integridade física. Mas a história é muito diferente em laptops, que já vêm com os dois acessórios integrados. Há algum tempo, o combo webcam-microfone é visto como um risco de segurança, e não faltam usuários que colocam fita na lente da câmera, desabilitam completamente o microfone ou abrem o equipamento para remover esses componentes. Por outro lado, encontramos muitos serviços online que fazem uso legítimo do microfone e da webcam, sem depender de elementos externos. Tudo o que precisam é de um navegador compatível e, por questões de popularidade, o Google Chrome está no topo da lista.
O problema é que uma versão recente do navegador possui um bug no indicador visual que reporta o acesso à webcam e ao microfone por parte de um site. Um desenvolvedor web da AOL chamado Ran Bar-Zik descobriu esse bug enquanto trabalhava em um site que executava código WebRTC. Para quem não conhece, WebRTC é o protocolo responsável por dar suporte ao streaming de áudio e vídeo em tempo real. Em uma situação normal, o site solicita permissão ao usuário e, uma vez que ativa os dispositivos, aparece um pequeno ponto vermelho na aba. Bar-Zik detectou que o código para realizar gravações não precisa ser executado na aba que pediu permissão em primeiro lugar. O que o Google Chrome faz é habilitar o acesso a todo um domínio; portanto, um simples popup em segundo plano é mais que suficiente para gravar a atividade do usuário e evitar o indicador vermelho na aba.
Bar-Zik criou uma prova de conceito aqui para que todos os usuários interessados possam avaliar o que acontece, e embora já tenha reportado o bug ao Google, a resposta foi um pouco fria. A Mountain View não vê o uso de popups para gravar conteúdo e contornar o indicador como um problema de segurança, porque o site precisa, obrigatoriamente, da autorização prévia do usuário, e o Google Chrome nem sequer tem esse indicador em sua versão móvel, embora tenha admitido que a situação pode ser “otimizada”. Em outras palavras, é mais provável que haja um ajuste, no entanto, não é algo urgente.
