Google we wszystkich swoich materiałach informuje, że na pierwszym miejscu zawsze stawiane jest bezpieczeństwo użytkowników. „Papier wszystko przyjmie” a rzeczywistość jest całkiem odmienna. Dwa błędy, z czego jeden umożliwia podsłuchiwanie użytkowników przeglądarki Google Chrome, drugi dotyczący kalendarza nie zostały przez korporację załatane do tej pory.
Przeglądarka giganta z Mountain View jako pierwsza posiadała możliwość wprowadzania fraz przy użyciu głosu. W dobie coraz to popularniejszych ekranów dotykowych rozwiązanie całkiem przyzwoite, ponieważ nie musimy za każdym razem walczyć z niewygodną klawiaturą ekranową. Niestety pewne luki występujące w przeglądarce umożliwiają uruchomienie mikrofonu i przechwytywanie wypowiadanych przez nas słów. Istnieje nawet exploit, który wymaga od użytkownika jedynie wydania zgodny na użycie mikrofonu. Autorem jest Tal Ater, który lukę wykrył rok temu, zgłosił do korporacji jednak ta, pomimo posiadania odpowiedniej łatki nie zdecydowała się jej wdrożyć.
Kolejny błąd nie jest aż tak poważny, jednak w pewnych przypadkach możemy narazić się na pewnie niemiłe konsekwencje. Jeżeli korzystamy z kalendarza Google i używamy do tego webowego interfejsu, to polecamy nie wpisywać w treści wydarzenia żadnych adresów e-mail. Załóżmy, że tworzymy wydarzenie o nazwie „Iść do szefa zapytać o podwyżkę”, nadajemy czas wykonania na kilka miesięcy później i podajemy mail szefa – zrobione. Wydarzenie widnieje w kalendarzu… ale nie tylko u nas. Do kalendarza szefa zostanie dodane takie samo wydarzenie, ba, zostanie nawet poinformowany o tym mailowo. No dobra, usuniemy to czym prędzej, aby się nie dowiedział… o próbie usunięcia również zostanie poinformowany – osobnym mailem. A co, jeżeli szef nie korzysta z poczty gmail? Wprawdzie wydarzenie w kalendarzu nie pojawi się, jednak wiadomość e-mail i tak do niego dotrze.
Problem występuje tylko w przypadku korzystania z webowego interfejsu kalendarza i jest znany od 2010 roku.
No cóż, jeśli ktoś wie jak działają usługi Google, oraz jak z urządzeń pompuje dane system Android i mimo wszystko używa przeglądarki od tejże korporacji …to sam jest sobie winien.
„Istnieje nawet exploit, który wymaga od użytkownika jedynie wydania zgodny na użycie mikrofonu.”
Aby byc podsluchiwanym, musisz JEDYNIE zgodzic sie na podsluchiwanie. So scary.
Ehhh, ku pamięci – dziś nie wydajemy osądów na podstawie jednego artykułu. Taka nowoczesna tradycja. 😉
Z innych źródeł możesz się dowiedzieć że pod przycisk uruchamiający rozpoznawanie mowy można podpiąć też uruchamianie ukrytego okna przeglądarki, okno takie dziedziczy potwierdzone uprawnienia do używania mikrofonu, ale jest dla użytkownika niewidoczne. Czyli ewentualny exploit może zawłaszczyć uprawnienia oficjalnej strony w sposób dla użytkownika niewidoczny.
To rodzaj zwrocenia uwagi na kiepski opis 😉
Co nie zmienia faktu, ze uprawnienia trzeba nadac, do tego konkretnie do uzycia mikrofonu, konkretnej domenie. Jak zainstaluje jakas losowa aplikacje i dam jej uprawnienia administratora to ta tez moze w tle duzo zrobic.
Co do „ukrytego” okna:
– wcale nie jest ukryte, po prostu jest osobnym oknem
– na wyswietlanie popupow w chrome takze musisz wyrazic zgode (aczkolwiek nie wiem, czy jest to ustawienie domyslne)