Chrome漏洞允許網站在沒有指示的情況下秘密錄制音頻/視頻

聽起來真嚇人！不是嗎？但這種情況不僅是可能的，而且非常容易實現。

谷歌Chrome瀏覽器中的UX設計缺陷可能會允許惡意網站錄制音頻或視頻，而不會提醒用戶或給出任何用戶被監視的視覺指示。

美國在線開發商Ran Bar Zik在2017年4月10日報告了谷歌的脆弱性，但科技巨頭拒絕考慮這個漏洞是一個有效的安全問題，這意味著沒有官方補丁。

瀏覽器如何與Camera麥克風

在了解漏洞詳細信息之前，首先需要知道基于web瀏覽器的音視頻通信依賴于WebRTC（web實時通信）協議–；大多數現代網絡瀏覽器都支持的一組通信協議，可以在不使用插件的情況下通過點對點連接進行實時通信。

然而，為了保護未經用戶許可的未經授權的音頻和視頻流，網絡瀏覽器首先要求用戶明確允許網站使用WebRTC并訪問設備攝像頭/麥克風。

一旦獲得授權，網站將永久訪問您的相機和麥克風，直到您手動撤銷WebRTC權限。

為了防止“授權”網站秘密錄制您的音頻或視頻流，網絡瀏覽器會在錄制任何音頻或視頻時指示其用戶。

Bar Zik在一篇中型博客文章中寫道：“激活此API將提醒用戶，其中一臺設備的音頻或視頻正在被捕獲”。“這是最后也是最重要的防線”。

在谷歌瀏覽器的例子中，標簽上會出現一個紅點圖標，提醒用戶音頻或視頻流是實時的。

網站如何秘密監視你

研究人員發現，如果任何授權網站使用JavaScript代碼彈出一個無頭窗口，它可以開始秘密錄制音頻和視頻，而不使用紅點圖標，在瀏覽器中不會給出流媒體正在發生的跡象。

Bar Zik說：“打開一個無頭窗口，并從該窗口激活MediaRecorder。在Chrome中，將不會有可視記錄指示”。

之所以會出現這種情況，是因為Chrome沒有被設計為在無頭窗口上顯示紅點指示，從而允許網站開發人員“利用小型UX操作激活MediaRecorder API，而無需提醒用戶”。

Bar Zik還提供了一個概念驗證（PoC）代碼供任何人下載，以及一個演示網站，該網站要求用戶允許使用WebRTC，啟動一個彈出窗口，然后錄制20秒的音頻，而不給出任何視覺指示。

您只需點擊兩個按鈕，即可讓網站在瀏覽器中使用WebRTC。演示會將您的音頻錄制20秒，然后為您提供錄制文件的下載鏈接。

Bar Zik說：“真正的攻擊當然不會很明顯。它可以使用非常小的彈出窗口，在任何地方提交數據，并在用戶聚焦時關閉數據。它可以使用相機毫秒來獲取你的照片”。“在移動設備中，沒有這樣的視覺指示”。

報告的缺陷影響谷歌瀏覽器，但也可能影響其他網絡瀏覽器。

谷歌表示，這不是一個缺陷；所以沒有快速補丁！

Bar Zik于2017年4月10日向谷歌報告了安全問題，但該公司并不認為這是一個有效的安全漏洞。然而，它同意尋找未來“改善情況”的方法。

“這并不是真正的安全漏洞；例如，移動設備上的WebRTC在瀏覽器中根本沒有顯示任何指示器，”Chromium的一名成員回復研究人員的報告。

“dot是最好的首選，只有在我們有chrome用戶界面空間的情況下，它才能在桌面上工作。盡管如此，我們正在尋找改善這種情況的方法”。

谷歌認為這是一個安全漏洞或不，但該漏洞無疑是一個隱私問題，這可能被黑客利用，以潛在地推出更復雜的攻擊。

為了更安全，只需禁用WebRTC即可，如果不需要，可以輕松實現。但如果您需要該功能，則只允許受信任的網站使用WebRTC，并在其上查找以后可能產生的任何其他窗口。

愛德華·斯諾登泄密還透露了視神經，NSA的項目是每5分鐘從隨機的雅虎用戶那里捕獲網絡攝像頭圖像。2008年，在短短六個月內，180萬用戶的圖像被捕獲并存儲在政府服務器上。

出于對隱私的擔憂，就連Facebook首席執行官馬克·扎克伯格（Mark Zuckerberg）和前FBI局長詹姆斯·科米（James Comey）也承認，為了安全起見，他們在筆記本電腦上放了磁帶。

雖然在你的網絡攝像頭上放一盤磁帶不會阻止黑客或政府間諜機構錄下你的聲音，但至少會阻止他們觀看或捕獲你的實時視頻。