Уязвимость в Google Chrome: сайты могут записывать звук и видео без индикации

Технарь · 30.05.2017, 18:24

Цитата:

Найденная уязвимость в Google Chrome позволяла злоумышленнику записывать аудио и видео с помощью браузера Chrome без какой-либо индикации

Компания Google была проинформирована об обнаружении проблемы безопасности еще 10 апреля 2017 года, но теперь данная информация стала публичной.
Большинство современных браузеров поддерживают протокол WebRTC (Web Real-Time Communications). Основное преимущество WebRTC - поддержка потоковой передачи данных без использования дополнительных плагинов. Стандарт широко используется при создании видеочатов, пиринговых сервисов для обмена данными, инструментов передачи изображений с экрана и различных веб-приложений.
Есть у WebRTC и один серьезный недостаток - риск утечки реального IP-адреса в поддерживаемых браузерах.
Обнаруженная уязвимость затрагивает Google Chrome, но может также быть актуальна и в других браузерах с поддержкой WebRTC. Для эксплуатации уязвимости пользователь должен предоставить право использования WebRTC соответствующему сайту. В свою очередь веб-сайт создает всплывающее JavaScript-окно без заголовка, с помощью которого будет осуществляться передача контента.
Во время передачи аудио- и видеопотока в Google Chrome не будут показываться никакие индикаторы записи. В обычных сценариях браузер показывает индикатор на вкладке, которая использует функциональность WebRTC, но в окне без заголовка пользователи ничего не увидит.
Данная ситуация была смоделирована на сайте Chromium Bugs. Вам нужно нажать на две кнопки и разрешить работу WebRTC в браузере. На демонстрационной страницу звук записывается в течении 20 секунд, после чего вы можете скачать аудиофайл на локальную систему.

Участник команды разработки Chromium подтвердил существованию проблемы, но отказался от формулировки “уязвимость”: “На самом деле, это не уязвимость системы безопасности. Например, WebRTC на мобильном устройстве вообще не отображает индикатор в браузере. Индикатор - это лишь первая попытка, которая работает только в настольной версии рабочего пространства Chrome”.
Даже если это не уязвимость системы безопасности, то серьезная проблема конфиденциальности для обычных пользователей. Для успешной эксплуатации пользователь должен предоставить сайту необходимые разрешения для запуска WebRTC и на ресурсе должно запуститься всплывающее окно.
Google может исправить ситуацию в будущем, но на данный момент пользователям следует соблюдать правила предосторожности.
Лучшей формой защиты станет отключение протокола WebRTC в браузере. Если вы хотите продолжить использование стандарта, то обращайте внимание на любые всплывающие окна при использовании сервисов.

Как отключить WebRTC в Google Chrome

Перейдите в магазин дополнений Chrome (Настройки > Расширения > Еще расширения)
Установите расширение Easy WebRTC Block
Убедитесь, что расширение включено. Вы можете временно отключать расширение, чтобы снова использовать WebRTC.

Источник: comss.ru

Технарь · 30.05.2017, 18:25

Тот самой момент, когда пользователям хрома пора доставать синюю изоленту )))

AlexZir · 30.05.2017, 20:46

только скотч, только хардкор!

prima · 30.05.2017, 20:58

Цитата:

Сообщение от AlexZir

только скотч

Лёш, какой, нахер, скотч!!!
Исключительно синяя!!!

AlexZir · 31.05.2017, 05:08

Андрей, синяя изолента - это для нас, для буржуинов - только скотч!

30.05.2017, 20:46	#3 (permalink)
AlexZir support Регистрация: 19.08.2007 Адрес: Зея Сообщений: 15,797 Записей в дневнике: 71 Сказал(а) спасибо: 166 Поблагодарили 203 раз(а) в 86 сообщениях Репутация: 75760	только скотч, только хардкор! __________________ Убить всех человеков!

31.05.2017, 05:08	#5 (permalink)
AlexZir support Регистрация: 19.08.2007 Адрес: Зея Сообщений: 15,797 Записей в дневнике: 71 Сказал(а) спасибо: 166 Поблагодарили 203 раз(а) в 86 сообщениях Репутация: 75760	Андрей, синяя изолента - это для нас, для буржуинов - только скотч! __________________ Убить всех человеков!

30.05.2017, 18:25	#2 (permalink)
Технарь Member Регистрация: 07.01.2008 Сообщений: 39,689 Сказал(а) спасибо: 783 Поблагодарили 834 раз(а) в 404 сообщениях Репутация: 124544	Тот самой момент, когда пользователям хрома пора доставать синюю изоленту )))

Ads
Яндекс Member Регистрация: 31.10.2006 Сообщений: 40200 Записей в дневнике: 0 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 55070