chrome
A quanto pare i PC non solo sono in grado di spiarci attraverso la videocamera, ma sono anche in grado di catturare le nostre conversazioni… e in una maniera molto discreta! Come? A quanto pare, basta avere installato sul PC Google Chrome e un microfono.
Tutti sanno che i siti web moderni sono capaci di interagire con un’ampia gamma di unità periferiche. Naturalmente, un utente deve dare il proprio consenso, ma in linea generale il processo è abbastanza semplice: basta cliccare su “Sì” e il gioco è fatto. Per esempio, per caricare una foto sui social network, se non se ne possiede una, è sufficiente confermare l’operazione e cliccare sulla finestra pop-up che permette alla webcam di scattare una foto all’utente in tempo reale. Ma per tenersi alla larga da quei siti web che abusano di queste funzionalità, il browser li deve poter bloccare. Tuttavia, a questo punto è lecito domandarsi: queste risorse web potrebbero essere in grado di continuare, senza il consenso dell’utente, a controllare alcune funzioni del PC?
Tal Ater, un software developer israeliano, ha dimostrato che esistono buone probabilità che questo possa accadere per davvero. Se sfruttata da un cybercriminale, la vulnerabilità scoperta dallo sviluppatore all’interno del codice del popolare Google Chrome, potrebbe trasformare un comune computer in uno strumento per spiare l’utente. Come? L’unica cosa che i criminali devono fare è spingere l’utente a provare uno dei tanti strumenti e programmi di riconoscimento vocale disponibili online e a permettere che la pagina web accenda il microfono. Da questo momento in poi, il criminale sarà in grado di registrare il suono attraverso il microfono, anche dopo aver chiuso la pagina. Oltretutto, l’indicatore rosso della barra del browser che normalmente avvisa dell’attivazione della registrazione può essere furbescamente disattivato; per questo l’utente crede che la registrazione sia terminata.
Per dimostrare la sua scoperta, Ater ha registrato un video della durata di 4 minuti (http://www.youtube.com/watch?v=s5D578JmHdU). Nel video si vede perfettamente come un utente possa aprire e chiudere un sito web compromesso in grado di realizzare trascrizioni vocali e come, anche una volta chiusa la pagina, il broswer continui ad registrare la voce di nascosto. I dati vengono poi inviati ai Server di Google per convertirli in testo e poi rimbalzano nelle mani dei criminali.
Ma c’è dell’altro: la maggior parte dei speech-aware web site (siti che offrono servizi di riconoscimento vocale e trasformano il suono in testo) usano una conessione https protetta; Chrome avverte gli utenti quando un sito vuole usare il microfono, ma una volta che l’utente dice di sì non lo chiederà nuovamente. Inoltre, la vulnerabilità che ho menzionato può essere leggermente modificata di modo che certe parole possono essere utilizzate come detonatore per far scattare la registrazione. Insomma, un grande strumento per spiare le persone!
Come se tutto questo non fosse abbastanza, Google è consapevole della vulnerabilità già da settembre. Prima che la scoperta divenisse di dominio pubblico, Tal Ater ha contattato il motore di ricerca per metterlo al corrente della scoperta. In meno di due settimane, i rappresentanti dell’azienda hanno inviato la conferma che il bug era stato risolto e che la patch era pronta. Tuttavia, sono passati quattro mesi e la patch non è ancora stata pubblicata.
Purtroppo, non sappiamo molto sulla strana reazione degli sviluppatore di uno dei più importanti browser del mondo. Nel frattempo, raccomandiamo a tutti gli utenti di stare in allerta, o addirittura di astenersi dall’utilizzare programmi per il riconoscimento vocale con Chrome. Come soluzione estrema, potreste resettare il browser, incluso segnalibri e processi in corso; in questo modo non sarà in grado di registrare nulla, o inviare nessun dato ai cybercriminali.
