В свете появления в браузерах новых API для доступу к оборудованию, появляются и новые виды атак. В частности, продемонстрирован (http://talater.com/chrome-is-listening/) простой метод атаки на Google Chrome, позволяющей сохранить доступ к микрофону после закрытия пользователем страницы, на которой такой доступ был разрешён. Суть метода сводится к незаметному открытию в фоне всплывающего окна, которое остаётся перекрыто основным окном и без сворачивания основного окна браузера остаётся незамеченным. Подобное окно сохраняет права доступа к микрофону, которое пользователь явно предоставил странице во вкладке из которой было открыто данное всплывающее окно.
При этом возможность записи сохраняется и после закрытия данной вкладки без видимой индикации факта записи (на вкладке в которой открыт доступ к микрофону отображался специальный значок, в окне такого значка нет). Код с демонстрацией использования указанной особенности для скрытой записи разговоров рядом с компьютером опубликован (https://github.com/TalAter/chrome-is-listening) на GitHub, для распознавания речи задействован Web Speech API (http://updates.html5rocks.com/2013/01/Voice-Driven-Web-Apps-...), появившийся в Chrome 25.<center><iframe width="640" height="480" src="//www.youtube.com/embed/s5D578JmHdU?rel=0" frameborder="0" allowfullscreen></iframe></center>
URL: http://talater.com/chrome-is-listening/
Новость: http://www.opennet.me/opennews/art.shtml?num=38913
Убирайте, убирайте с ноутов кнопки вкл/выкл микрофона и камеры и дальше, ага.
Они и так уже давно софтварные, так что толку от них - как мёртвому припарки. А вот по старым добрым хардкорным регуляторам звука (колёсиком) с резистором и переключателями, которые отрубали камеры и микрофоны выключением питания остаётся только скучать.
> Они и так уже давно софтварные, так что толку от них - как мёртвому припарки.Можно поставить pulseaudio - враг не пройдет!
> Можно поставить pulseaudio - враг не пройдет!Если бы. На N900 пульс очень даже пашет, наприимер.
У меня на ноуте (асус, довольно свежий), есть рядом с камерой ползунок механический, и стильной серенькой шторочкой(несколько миллиметров) закрывается камера. Очень удобно, что можно знать на все 100% что никто не видит тебя. Не нужно как некоторым, заклеивать камеры или вебки отворачивать в сторону :). Жалко на микрофон физической выкл кнопки нет :(
> … Жалко на микрофон физической выкл кнопки нетОтвёрткой можно выключить!
На машине, что остановиться, колёса прокалывать? Дверь открыть, С4 вешать? Глупо.
Физические ползунки кнопульки очень даже нужны. Даже возвращаясь к своему ноуту, - если в винде ползунок закрыть на камере, то и видео закрывается и камера выкл. Но на ползунок так-же и софтварное действо стоит! Т.е. если на линухе ползунок закрыть, то камера не выключится, а продолжит снимать, но уже черную шторку. Это если дрова не настраивать на ползунок.
> Отвёрткой можно выключить!Ходят слухи что ей даже гвозди закручивать можно. Ты в этом деле вроде как даже специалист.
я вообще свой ноутбук разобрал и вебку изъял)
решается гораздо проще. во всяком случае, на линуксе
Ну камеру хоть заклить можно (нужно).
> Ну камеру хоть заклить можно (нужно).Выдернуть шнур, выдавить стекло.
Ну и что, скажите пожалуйста, браузер должен делать с микрофоном?
Парой тредов ниже какие-то психи хотят из браузера сделать фреймворк для разработки прикладного (спасибо, что хоть не системного) софта.
Браузер это программа для рендеринга HTML страничек!
Такое впечатление, что этот Chrome Поттеринг пишет.
вылезай из комы, уже давно существуют веб-приложения
Т. е. canvas добавили случайно? и рендеринг, что 2d, что 3d пилят по ошибке?
фига два, браузер используется для конфигурирования домашних точек доступа и серверов виртуализации, всяких свисто-перделок, мониторингов и документооборотов, прикладной софт уже давно живет в браузере, нафиг нужен комп, если с телефона можно залить видео в облако отредактировать и расшарить, а прикладное ПО требует совместимости с каждой осью, установки на винт и прочая прочая и со временем оно станет атавизмом.Отделение устройств ввода/ввывода от устройств хранения и обработки данных позволит значительно упростить и то и другое, не нравятся вам облака чужого дяди, купите свое, смонтируйте в подвале и радуйтесь.
И браузер тут ключевой элемент.
> И браузер тут ключевой элемент.ну да. сначала пихают невпихуемое, а потом, слившись в экстазе, героически латают дыры.
жаль, что нетшкаф вовремя не сгорел — до того, как js в браузер засунул.
> Ну и что, скажите пожалуйста, браузер должен делать с микрофоном?WebRTC. Чатики/конференции/... голосом. Ну в общем, флеша решили окончательно доканать.
Идиот, не из браузера, а из платформы, на которой этот браузер написан. Разницу чуешь?
Все правильно! А для веб-приложений обязательно нужен дополнительный нестандартизированный проприетарный плагин вроде флеша!
> Все правильно! А для веб-приложений обязательно нужен дополнительный нестандартизированный
> проприетарный плагин вроде флеша!Необязательно.
На html+css+js можно много чего сделать (и сделано).
На личном опыте плагин к браузеру flashblock мешает разве что получению видео/аудио в браузере.
Хотя и тут отказ от флеша движется полным ходом.
> Браузер это программа для рендеринга HTML страничек!Нет! Брузер IE, к примеру, предназначен для отжимания бюджетных денег у госконтор.
>> Браузер это программа для рендеринга HTML страничек!
> Нет! Брузер IE, к примеру, предназначен для отжимания бюджетных денег у госконтор.Кстати, IE действительно является хорошим фреймворком для написания crypto activeX приложений.
Ну как, хорошим... хорошим, когда других не знают :)
на винде IWebBrowser сотоварищи вдобавок является неплохим средством делать интерфейсы в софте на цпп. если на переносимость плевать, конечно.
Троянописатели оценили. Остальные - ???
> Троянописатели оценили.при чём тут троянописатели? одолжи у кого-нибудь рабочий мозг на время, подумай над тем, что на dhtml достаточно просто сделать красивую юзерморду, с анимацией и поэтессами. при этом не надо таскать с собой самопальный движок для уя, потому что mshtml есть на всех более-менее распространённых виндах, достаточно несложно встраивается в софт на цпп, позволяет делать js api, специфичный для программы, ковырять dom-дерево из того же цпп и добавлять кастомные протоколы (опять же, локально для программы), которые можно использовать для загрузки ресурсов откуда удобно.
p.s. и весьма элегантно решается задача «пусть дизайнеры рисуют уй, а программеры пишут код».
> при чём тут троянописатели?При том что IE через этот самый активикс одно время активно ломали. Вплоть до лулзов типа автоинсталла неподписанного хаксорского кода. Или кривоподписанного. Так что хакерье было радо по уши.
> достаточно несложно встраивается в софт на цпп,
Ну вот поэтому лучше уж кутя какая-нибудь, с вебкитом и QMLами. Она по крайней мере кроссплатформенная. А будет мало - получишь HTML5 и вебприложения...
>> при чём тут троянописатели?
> При том что IE через этот самый активикс одно время активно ломали.мда. «я ничего не понял, но зато сказал слово 'троян'!»
слушай, ты не пробовал побольше жевать, а? ты когда жуёшь — кажешься значительно умнее.
Долбоящерам, ниасиолившим ничего кроме "программирования на html" (с) и прочего жопоскрипта тоже очень хочется писать программы, как большим дядям...
Это не столько атака на браузер, сколько атака на на дурозвонов, которые не следят за своими окнами.
> Это не столько атака на браузер, сколько атака на на дурозвонов, которые
> не следят за своими окнами.Мины - средство естественного отбора! Виживают только самые внимательные и параноидальные!
Месье из тех замечательных людей, у которых десять окон по сотне вкладок, накопившихся за месяц браузинга никогда не закрывются? Если да, то туда вам и дорога.
>Месье из тех замечательных людей, у которых десять окон по сотне вкладок, накопившихся за месяц браузинга никогда не закрывются? Если да, то туда вам и дорога.Да тут у половины месьев привычки меняются в зависимости от обсуждаемой темы.
"Хром жрёт аж 3 гига памяти и тормозит на 100 открытых вкладках" — "Вот чудаки, ну как так можно работать без 100 открытых вкладок?".
"Забытая вкладка или окно может скрытно вести запись с микрофона" — "Ну тоже мне, атака. Можно подумать, у меня сто вкладок постоянно открыто, что я за всеми уследить не могу".
А что не так? Если кто-то не следит за своим дерьмом, пусть будет готов, что в один прекрасный день его им же и накормят. Amirite?
> Да тут у половины месьев привычки меняются в зависимости от обсуждаемой темы.Это тебе так кажется. На самом деле "половина месьев" — это совершенно разные люди с разными привычками соответственно, а не один человек с постоянно меняющимися.
> "Хром жрёт аж 3 гига памяти и тормозит на 100 открытых вкладках"
> — "Вот чудаки, ну как так можно работать без 100 открытых
> вкладок?".
> "Забытая вкладка или окно может скрытно вести запись с микрофона" — "Ну
> тоже мне, атака. Можно подумать, у меня сто вкладок постоянно открыто,
> что я за всеми уследить не могу".В общем-то, все правильно. Если люди делают из браузера помойку - пусть не жалуются на вонь и крыс.
> Месье из тех замечательных людей, у которых десять окон по сотне вкладок,
> накопившихся за месяц браузинга никогда не закрывются?Да, прикинь - мне удобно когда потенциально интересное инфо в фоне подгружается, чтобы потом не ждать загрузку а сразу почитать. Но ты конечно можешь браузить в стиле "на дворе IE 3.0", колупая стопку окошек. Или даже используя мегаэффективные back/forward, как последний нуб :)
Ну так используй вкладки, в чем поблема-то, сын мой? Я хоть раз высказался против них?
Я говорю про индивидов, которые путают вкладки с закладками, у которых можно встретить страницу, открытую год назад. Таких очень много, и такие имеют обыкновение очень сильно возмущаться, когда браузер вдруг откроется пустым.
конечно, ты же носитель Абсолютной Истины. сам Ты сказал, что так нельзя!
> Ну так используй вкладки, в чем поблема-то, сын мой? Я хоть раз
> высказался против них?Звучало все именно так. А страница открытая год назад может быть регулярно нужна, например. И зачем каждый раз тратить время на ее переоткрытие тогда?
> Месье из тех замечательных людей, у которых десять окон по сотне вкладок,
> накопившихся за месяц браузинга никогда не закрывются? Если да, то туда
> вам и дорога.Я видел одного типа, который в процессе как бы работы открыл 17 копий IE (не вкладок!), после чего Windows благополучно упала.
> Ты в 98 году это видел? До сих пор не можешь забыть?При чем тут 98 год? Сейчас уже XXI век на дворе, а винда до сих пор падает от малейшего чиха :(
Да как сказать... из манагеров таких дурозвонов тринадцать на дюжину, так что и поле для промышленного (и не только) шпионажа может получится весьма обширное.ЗЫ Забавно будет посмотреть сабж на моем тайловом ДЕ)))
Угу, особенно когда все окна одного приложения собираются под одну кнопку - пока не назмешь - не увидишь. На тайле, впрочем, будет видно - но тоже не факт, что заметишь. Только и дел пользователю во время работы, что отслеживать, какое окно когда открылось.
А количество окон (хотя бы примитивно "одно - несколько") у вас что, не отображается?
Конкретно у меня - тайл, там все окна по отдельности. И то когда несколько разных приложений открыто и чем-то занят, не слишком обращаешь внимание, не прибавилось ли окно. А уж на цифирку на кнопке (или как там оно отмечается) - и подавно. Фокус внимания-то на том, что делаешь.
Тайл - хорош, да.
Но все равно, не заметить, что у тебя появилось еще одно окно, по крайней мере мне это кажется диким даже вне условий тайла,
От стиля работы зависит. Я, допустим, когда занят чем-то плотно - своё имя не слышу и нотификейшны на экране не замечаю. А уж лишний таб вверху - и подавно.
Пф, это пофиксят элементарной галочкой в меню, типа закрывать все всплывающие окна и.т.д.
уже пофиксили:I reported this exploit to Google’s security team in private on September 13. By September 19, their engineers have identified the bugs and suggested fixes. On September 24, a patch which fixes the exploit was ready, and three days later my find was nominated for Chromium’s Reward Panel (where prizes can go as high as $30,000.)
... но не внедрили:
But then time passed, and the fix didn’t make it to users’ desktops. A month and a half later, I asked the team why the fix wasn’t released. Their answer was that there was an ongoing discussion within the Standards group, to agree on the correct behaviour - “Nothing is decided yet.”
собсна суть новости в том, что гугл (менеджеры/релизеры/whatever) уже тупит 3 месяца
>[оверквотинг удален]
> suggested fixes. On September 24, a patch which fixes the exploit
> was ready, and three days later my find was nominated for
> Chromium’s Reward Panel (where prizes can go as high as $30,000.)
> ... но не внедрили:
> But then time passed, and the fix didn’t make it to users’
> desktops. A month and a half later, I asked the team
> why the fix wasn’t released. Their answer was that there was
> an ongoing discussion within the Standards group, to agree on the
> correct behaviour - “Nothing is decided yet.”
> собсна суть новости в том, что гугл (менеджеры/релизеры/whatever) уже тупит 3 месяцаМожет ждут пока таможня СШП даст добро?!?!?!? ;)
> Может ждут пока таможня СШП даст добро?!?!?!? ;)Это, типа, на злобу дня? А то отечественная таможня что-то с посылками мутит...
>> Может ждут пока таможня СШП даст добро?!?!?!? ;)
> Это, типа, на злобу дня? А то отечественная таможня что-то с посылками
> мутит...Нет! Это без типа, "последнее время" одни шпионят за другими, другие якобы занимаются "непотребой", и все это крутится вокруг бабла, которое еще и зло успевает победить ;)
Но, есть же где то люди, которые еще и добрые дела успевают делать, так между прочим!
А таможня, она просто "разжирела", а жир на морозе как известно застывает, вот все и замедлилось ;)
Все происходит по схеме сначала хорошая идея затем ее кривая реализация. Да и вообще ничего необыкновенного в свете всего что происходит. Вспомните например как несколько лет назад были раскрыты факты что гугл без ведома пользователя слушает звук с микрофона чтобы выдавать релевантную рекламу.
> что гугл без ведома
> пользователя слушает звук с микрофона чтобы выдавать релевантную рекламу.Пруфы в студию или хватит газифицировать лужу. Гугл анализировал голосовые запросы, которые гонялись на сервер того же гугла для распознавания и использовал в общей пачке сведений про пользователя.
А так - тебе только заголовки к газетам писать с такой любовью к истерикам.
> А так - тебе только заголовки к газетам писать с такой любовью
> к истерикам.Из текста понятно что у вас истерика. А всякого рода внедрения в личное пространство пользователя давно не новость, и способы внедрения уже давно обкатаны. Так что это новость с желтым заголовком. Ну а если хотите пруфов то посетите сайты посвященные информационной безопасности где очень много подобных новостей. Или вы думаете что все о чем не пишут на opennet не достойно внимания
>> А так - тебе только заголовки к газетам писать с такой любовью
>> к истерикам.
> Из текста понятно что у вас истерика. А всякого рода внедрения в
> личное пространство пользователя давно не новость, и способы внедрения уже давно
> обкатаны. Так что это новость с желтым заголовком. Ну а если
> хотите пруфов то посетите сайты посвященные информационной безопасности где очень много
> подобных новостей. Или вы думаете что все о чем не пишут
> на opennet не достойно вниманияТебе задали конкретный вопрос. Когда гугл слушал звук с микрофона пользователя без его ведома? Ты вместо ответа начал рассказывать что-то про абстрактные внедрения. Ещё раз повторию свой вопрос: представь доказательство что Гугл когда-либо включал микрофон пользователя и слушал о чем тот говорил чтобы показывать рекламу. Или признай, что ты - газифицировал лужу своим заявлением.
> Тебе задали конкретный вопрос. Когда гугл слушал звук с микрофона пользователя без
> его ведома? Ты вместо ответа начал рассказывать что-то про абстрактные внедрения.
> Ещё раз повторию свой вопрос: представь доказательство что Гугл когда-либо
> включал микрофон пользователя и слушал о чем тот говорил чтобы показывать
> рекламу. Или признай, что ты - газифицировал лужу своим заявлением.Товарищ на осле приехал сюда. Какой с него спрос?
> гонялись на сервер того же гугла для распознавания и использовал в
> общей пачке сведений про пользователя.Ну да, всего-ничего досье. Ждем когда гугл откроет сервис "всего 19.95 и досье на вашего сотрудника у вас в руках, маркетинговые предпочтения - в подарок".
>> гонялись на сервер того же гугла для распознавания и использовал в
>> общей пачке сведений про пользователя.
> Ну да, всего-ничего досье. Ждем когда гугл откроет сервис "всего 19.95 и
> досье на вашего сотрудника у вас в руках, маркетинговые предпочтения -
> в подарок".Досье, которое составляет гугл пассивно - это одно. Активная слежка с включением устройства без ведома пользователя - другое.
В первом случае ты в курсе что вся информация проходит сервера гугла и что он может её сохранять и использовать. И решаешь исходя из этого что стоит искать залогинившись в гугле, а что - не стоит.
Во втором случае - это уже прямая слежка и нарушение права на неприкосновенность личной жизни.
Не надо тут мешать в кучу коней и людей. Гугл - далеко не пушистая пуська и методично собирает в свои лапки всю информацию, которая через него проходит. Но за активной слежкой (особенно включая микрофоны и камеры) замечен не был, так что пока что не надо выдумывать. Были случаи когда они дампили весь вайфай траффик который улавливали со своей машины, но это уже ближе к тому что гугломобили писали бы непрерывно видео-аудио дорожку того что видят на улице.
А ещё можно через flash смотреть через камеру на ваше лицо без вашего спроса.
Во флеше как раз подобные дыры закрыты сто лет назад. Разрешение он спрашивает.
А дыра ли то была? И нет ли ещё штук дцать подобных?
Вот в чём вопрос.
В том то и дело, что есть.
Даёшь разрешение на использование камеры когда flash спрашивает, закрываешь вкладку, а на тебя продолжают глазеть.
Если ты сам поставил галку "всегда разрешать этому сайту" - то это твои проблемы. Иначе разрешение даётся только одному экземпляру флеша в одной вкладке.
С Java всё ещё хуже. Там вообще прога творит на твоём компе очень много чего захочет.
у меня тайлинг :-P
Ребята хорошо работают.