נמצאו אפליקציות לשיחות ועידה בווידאו עם שאילתות במיקרופון גם כשהם מושתק
אנשים ששמים סרט שחור על המצלמה של המחשב הנייד שלהם תמיד גורמים לכמה גבות מורמות בחדר. עם זאת, נראה שאמצעי זהירות קיצוניים דומים, לכאורה, אינם בלתי רצויים. בפרסום משותף שנערך לאחרונה על ידי חוקרי אוניברסיטאות, נחשף כי מספר יישומי ועידת וידאו פופולריים מאוד ממשיכים לבצע שאילתות על המיקרופון ולשדר נתונים, גם כאשר המיקרופון מושתק בתוך הגדרות התוכנה.
הדבר הזה פועל?
התגלית נעשתה על ידי צוותים עם אוניברסיטת ויסקונסין ואוניברסיטת לויולה שיקגו. העיתון שפרסמו נקרא "Are You Really Muted?" וחשף כמה פרטים מוזרים מאוד על האופן שבו תוכנת ועידת וידאו מטפלת במיקרופון של המערכת שלך.
העיתון מראה שמספר אפליקציות פופולריות המשמשות לצ'אט קולי ווידאו ממשיכות לעקוב אחר המיקרופון גם לאחר שהמשתמש לחץ על "השתק". זה לא אומר באופן אוטומטי שמישהו יכול להאזין לך, אבל חוקרים גילו שניתן להשתמש בנתוני הטלמטריה המועברים במהלך תהליך הניטור הזה כדי לזהות את צליל הרקע והפעילויות שהמשתמש עשוי לעשות, וניתן לבצע זאת באמצעות רמה גבוהה של ודאות.
צוותי האוניברסיטאות הגיעו עם מה שהעיתון מכנה "מסווג פעילות רקע הוכחה למושג", שהצליח לטביעת אצבע של פעילויות רקע, תוך ביטול נתוני הטלמטריה מהמיקרופון שכבר מושתק.
יישומים שנמצאו שולטים במיקרופון כשהמכשיר מושתק כוללות פחות או יותר כל יישום מרכזי לשיחות ועידה בווידאו. הרשימה כוללת את Discord, Webex של Cisco, Google Meet, Skype ו-Microsoft Teams, כמו גם Slack ו-Zoom. לא כולם היו רגישים לניטור דומה, שכן כל האפליקציות הפועלות בדפדפן השתמשו בהשתקה הפנימית של הדפדפן, שמתקשרת ישירות עם מנהל ההתקן של האודיו ומכבה כל שידור נתונים של המיקרופון.
חששות Webex טופלו חלקית
Webex היה קצת בולט במחקר הזה, שכן החוקרים גילו שאפילו במיקרופון מושתק, ל-Webex עדיין יהיה אודיו גולמי במאגרי האודיו שלו. הטלמטריה של האפליקציה, המשודרת כטקסט רגיל, יכלה להיות גם יורטה על ידי החוקרים ולהשתמש בה לזיהוי פעילות המשתמש ברקע. סיסקו פנתה ל-Security Week שדיווחה על מאמר המחקר והצהירה שהנתונים המנוטרים מוגבלים לרמות עוצמת השמע והעלייה ונועד רק "לתמוך בחוויית המשתמש ובפתרון הבעיות". החברה הצהירה עוד כי איסוף נתונים זה הקשור לפתרון בעיות הופסק ומשתמשים יכלו ליצור קשר עם החברה בנוגע לדאגות נוספות לפרטיות ולבקש להשבית את כל הנתונים לחלוטין.