Aplicațiile de videoconferință pot accesa microfoane silențioase – Securitate – Software

Un grup de cercetători care studiază comportamentul aplicațiilor de videoconferință a demonstrat că sunetul poate fi captat, chiar dacă utilizatorul a dezactivat microfonul.

la hârtie Publicat săptămâna trecută, cercetătorii de la Universitatea Wisconsin-Madison și Universitatea Loyola din Chicago au pus întrebarea: „Chiar tăceți?”

Răspuns: Nu întotdeauna și majoritatea utilizatorilor nu înțeleg acest lucru.

Problema este cel mai vizibilă în Cisco Webex când rulează pe Microsoft Windows.

Cercetătorii au explicat că aplicațiile de videoconferință (VCA) care rulează în browsere sunt cele mai sigure, deoarece dezactivarea microfonului este impusă de browser.

Ei au scris că „aplicațiile web – implementate în JavaScript – necesită acces la microfon printr-un browser web, care în general are politici de colectare a datelor mai restrictive și mai multe instrumente care permit utilizatorului să controleze accesul aplicației la dispozitive”.

Pe de altă parte, aplicațiile care rulează nativ pentru sistemul de operare, au acces la microfon din sistemul de operare, iar cercetătorii notează că „sistemul de operare impune mai puține restricții aplicațiilor native decât mediul de rulare al browserului pentru aplicațiile web”.

„Nu există suport din partea sistemelor de operare majore de care cunoaștem [enforcing] Opriți programul. „

În Windows, de exemplu, utilizatorul poate dezactiva microfonul prin setările panoului de control, dar acesta nu este disponibil ca un simplu apel API pentru aplicații terțe.

„Această lipsă a sunetului software mediat de sistemul de operare înseamnă că fiecare aplicație nativă trebuie să-și implementeze propria funcție internă de muting”, au scris cercetătorii.

Aceasta înseamnă că este deschis pentru dezvoltatori să accepte dezactivarea sunetului, nu să transmită audio de la utilizator la întâlnire, dar fiind totuși capabil să preia audio de la microfon, Webex de la Cisco a oferit cele mai proeminente exemple în acest sens.

„Cel mai interesant este că observăm că Cisco Webex – spre deosebire de restul VCA-urilor originale Windows – accesează în mod constant microfonul în timp ce sunetul este dezactivat”, se spune în ziar.

„Folosind x64dbg, am reușit să urmărim tamponul audio copiat de pe Webex până când acel tampon a ajuns în stivă. Am descoperit că, în timp ce aplicația era dezactivată, tamponul audio din Webex conținea audio brut de la microfon.”

După cum a spus Jack West de la Universitatea Loyola, unul dintre cercetători iTnewsAr putea exista motive întemeiate pentru asta.

Capturarea audio brut poate ajuta la „menținerea tranzițiilor line de la sunet la activat”, de exemplu.

În cazul Webex: „Sunetul brut a fost probabil verificat pentru eliminarea zgomotului pentru a menține consistența și în timpul tranziției”.

Cisco a primit, de asemenea, telemetrie derivată din vocea utilizatorului de la Webex.

„De când am adus această problemă în atenția Cisco, ei au încetat să mai trimită date de telemetrie vocală”, a spus West. iTnews.

Utilizatorii sunt ignoranți

O altă problemă evidențiată de lucrare este că, în general, utilizatorii nu înțeleg că VCA-urile lor le pot asculta atunci când microfonul este dezactivat.

Cu un sondaj efectuat pe 223 de persoane, cercetătorii au descoperit că majoritatea aplicațiilor considerate că ar trebui să aibă acces la microfon numai atunci când aplicația rulează și când utilizatorul nu este dezactivat – și majoritatea cred că asta se întâmplă de fapt.

„În concluzie, rezultatele studiului utilizatorului indică faptul că înțelegerea de către utilizator a butonului de dezactivare a sunetului nu se potrivește cu așteptările lor cu privire la comportamentul acestuia”, se arată în lucrare.

a spus West iTnews Echipa de cercetare consideră că „Microsoft ar trebui să ofere o modalitate de a spune utilizatorului că este accesat tamponul audio”.

„Deci, utilizatorul este cel puțin conștient de ceea ce ar putea auzi aplicația”, a spus West.

„Microsoft oferă în prezent o funcție aici în care un utilizator își poate dezactiva rapid microfonul”, a adăugat el.

Echipa completă de cercetare a fost West, George Thiruvathokal și Neil Clingensmith de la Universitatea Loyola și Yucheng Yang și Qasim Fawaz de la Universitatea din Wisconsin-Madison.

Cercetările lor vor fi prezentate în Al 22-lea simpozion privind tehnicile de îmbunătățire a confidențialității În iulie, la Sydney.

iTnews Microsoft a cerut comentarii cu privire la cercetare.