Kolejny sposób na podsłuchiwanie przez Chrome: winna nieprzemyślana implementacja

W styczniu tego roku izraelski programista przypadkiem odkrył,jak łatwo jest przekształcić Google Chrome w urządzeniepodsłuchowe, wykorzystując nie do końca zgodne ze standardamizachowanie tej przeglądarki. Teraz inny izraelski programistapokazuje podobny atak, pozwalający przejąć transkrypcję mowy natekst podsłuchanej przez mikrofon komputera – i to nawet jeśliużytkownik nie dał aplikacji dostępu do mikrofonu.

Sprytne nadużycie starego interfejsu mowy w Google Chrome,-x-webkit-speech, możliwe jest dzięki temu, że element HTML, któryprzyjmuje mowę użytkownika, może przyjąć dowolny rozmiar ipoziom przezroczystości, nie tracąc nic na funkcjonalności. Takiniewidzialny element może przejmować wszystkie kliknięcia nastronie.

Jak widać, nie jest to jakaś wyrafinowana technika, raczejwykorzystanie nieprzemyślanej implementacji interfejsu mowy,aktywowanego elementem *<input-x-webkit-speech />. *Niema tu żadnych specjalnych okienek dialogowych dla uzyskania zgody nanagrywanie, a wskaźnik mówiący informujący o tym, że trwanagrywanie na stronie, może być łatwo ukryty, wyrzucony pozawidoczny obszar ekran.

Przykład takiego ataku jegoodkrywca Guy Aharonovski, przedstawił na poniższym filmie. Choćzademonstrowano go na wersji Chrome dla OS-a X, działa on też naWindows i Linuksie. Możecie też sami wypróbować jego działanie,klikając tutaj.Co gorsze, nawet jeśli zablokować aplikacjom dostęp do kamery imikrofonu w panelu chrome://settings/content,atak wciąż jest możliwy.

Błąd został zgłoszonydo Google przez tracker projektu Chromium. Specjalnego wrażeniana programistach Google'a jednak nie zrobił, oznaczono go jako małoistotny, co oznacza, żeopracowanie łatki nie jest priorytetem. Dopiero ujawnienie sprawy nałamach Reddita spowodowało podwyższenie oszacowania poziomuryzyka, i opracowanie łatki.

Warto zresztą podkreślić, żestare, „prefiksowe” Web Speech API jest przez Google jużwycofywane, zastępuje je nowy interfejs, w pełni zgodny zestandardami. Jego demonstrację możecie zobaczyć tutaj.