Hallo allerseits!
Mein Name ist Vadim und ich bin einer der technischen Berater und gleichzeitig der Systemadministrator von RosKomSvobody .
Aber in diesem Beitrag geht es nicht um mich. Es wird eine Geschichte über eine verdächtige Situation (in Bezug auf den Datenschutz im Zusammenhang mit Mobiltelefonen) sein, der wir kürzlich begegnet sind.
Es könnte im Stil von "Aaaaaaaaa! Sieh mal, Big Brother (Google) folgt uns" sein, aber ich werde trotzdem versuchen, eine Art Analyse durchzuführen und plausible Hypothesen darüber aufzustellen warum was passiert ist, kann passieren.
Ich entschuldige mich im Voraus, wenn jemand das Format a la "magazine} {akep to zero" nicht mag. Schreiben - richtig.
Also Einer unserer Leser kam auf uns zu und behauptete, dass beim Betreten unserer Website (die ironischerweise die oberste Kachel unserer Kampagne gegen die Gesichtserkennung - BanCam hängt oben) die Frontkamera aktiviert wird.
Tatsache ist, dass er der Besitzer eines Telefons einer neuen Generation von Telefonen ohne „Tasche“ ist, in der die Frontkamera in einem separaten „Ablagefach“ untergebracht ist. Was in der Tat beim Zugriff auf die Kamera bleibt.
Wie Sie wahrscheinlich erraten haben, waren meine ersten Gedanken der Verdacht, dass wir irgendwie auf wundersame Weise waren, trotz all der "Sicherheitsmechanismen", die ich baute, die immer noch gehackt und "aufgebaut" wurden.
Die Untersuchung ergab jedoch, dass bei unserer Website alles in Ordnung ist.
Nachdem ich die oben genannte Untersuchung durchgeführt und die Ergebnisse im technischen Chat von RosKomSvoboda diskutiert hatte, fiel mir ein, dass ich bereits in mehreren Foren im Internet festgestellt hatte, dass Trojaner durch Bannernetzwerke "gerutscht" waren (beim Öffnen des Forums von einem Android-Telefon aus). apk-pakete (anscheinend in der hoffnung, dass der benutzer sie installiert und denkt, dass dies der offizielle client dieses forums ist).
Nachdem ich über diese Idee nachgedacht hatte, schlug ich vor, die "Tracker" zu überprüfen, die in der Liste der zulässigen enthalten sind (dieser Reader verwendet Firefox und das darin installierte uBlock-Addon).
Ein paar Stunden Experimente haben gezeigt, dass sich die Kamera nicht mehr bewegt, wenn Sie den Zugriff auf die Domain google.com blockieren. Irgendwann zur gleichen Zeit sagte dieser Benutzer, dass diese Situation auch auf der kod.ru Website reproduziert wird (vorher haben wir mit der "only with us" -Version gearbeitet).
Nachdem ich mich etwas eingehender mit den Ausgrabungen befasst hatte, stellte ich fest, dass Anfragen nach google.com nicht nur Google-Tracker (auch als "Analytics" bezeichnet), sondern sogar das übliche "Einbetten" von YouTube-Videos auf einer Seite auslösten. Die Reproduzierbarkeit des Kamera- kod.ru auf kod.ru fiel ebenfalls in diese Theorie (wie sich herausstellte, gab es auf der getesteten Seite auch ein Video von YouTube).
Um diese Theorie weiter zu bestätigen, googelte ich einen zufälligen Blog-Post a la "Einfügen eines YouTube-Videos in einen Blog, eine Videoanweisung" mit einem eingebauten Video, und die Situation wurde auch darauf reproduziert.
Also Gut Momentan haben wir solche Informationen in den Händen: Das Vorhandensein eines eingebauten YouTube-Videos auf der Seite löst das Laden einiger Skripte von google.com und diese wiederum lösen das Verlassen der Kamera aus.
Ok, grabe weiter.
Beim Stöbern in den Browser-Debugging-Tools stellte ich fest, dass ein seltsamer und fürchterlich verschleierter (so sehr, dass keiner der von mir aus den Suchergebnissen www.google.com damit umgehen konnte) von www.google.com (nämlich www ) geladen wurde, sogar mit einem Namen und so Verschleiert (in Kenntnis von Google kann ich davon ausgehen, dass dieses Skript nach einer Weile verschwindet und ein Skript mit einem anderen (aber ebenso unlesbaren) Namen an seine Stelle gesetzt wird. Hier ist also der Code für alle Fälle).
Ein kurzer Blick auf das Skript zeigt hier keine Verweise auf die Kamera, und es gibt keine Zeit und Gelegenheit, noch tiefer in das Debuggen einzutauchen und zu interpretieren, was es dort tut (obwohl Sie es tun können, wenn jemand von Ihnen dies möchte).
Wir versuchen von der anderen Seite einzutreten:
Persönlich habe ich ein Telefon ohne Ausgangskamera, daher ist es so einfach, einen Appell an sie zu richten, den ich nicht kann. Aber ich kann es über USB anschließen und adb logcat | grep -C5 camer adb logcat | grep -C5 camer ( grep - weil sonst zu viel irrelevanter Müll für jedes Niesen vorhanden ist, einschließlich Tippen auf den Bildschirm mit dem Finger oder Bewegen des Telefons im Weltraum). Was mache ich eigentlich ...
Also, der erste Versuch: Ich gehe zu den getesteten Sites und ... nichts!
Der Gedanke schleicht sich ein, dass das Problem schließlich irgendwo auf der Seite des Benutzers zu liegen scheint.
Parallel dazu diskutieren wir die Situation im oben genannten technischen Chat von RosKomSvobody. Nach einiger Zeit erhielt einer der Teilnehmer die Meinung, dass mobile Browser schlau sind: Sie fragen nicht immer nach globalen Zugriffsrechten auf die Kamera, und wenn sie nicht gewährt werden, fragen sie in einigen Fällen möglicherweise nicht!
Ich gehe zu den Anwendungseinstellungen und stelle fest, dass ich keine Berechtigungen für die Kamera für Firefox festgelegt habe. Ich schalte es ein, überprüfe es erneut und sehe ein Blatt für ein paar "Bildschirme" mit den folgenden Angaben:
Ja! Appell an die Kamera, dann ist da noch was!
Unmittelbar nach der Zeile mit "get device info" erfolgt außerdem ein explizites Öffnen des Kamerageräts:
12-12 17:10:14.734 751 6924 I QCamera : <HAL><INFO> int qcamera::QCamera2Factory::cameraDeviceOpen(int, struct hw_device_t **): 405: Open camera id 0 API version 256
Ich überprüfe dasselbe mit Chrome, und alles wird reproduziert: Wenn die Rechte an der Kamera weggenommen werden, wird im Protokoll "Schweigen der Lämmer" und falls ausgestellt - dasselbe Blatt wie der Zugang zur Kamera mit der Safranmilchkappe angezeigt.
Das Problem ist also:
a) nicht lokal für den Benutzer,
b) nicht spezifisch für den Browser.
Interessanterweise hat während all dieser Ereignisse keiner dieser Browser versucht, ein Wort über die Erlaubnis zum Zugriff auf die Kamera von einer der am Test teilnehmenden Websites (und in der Tat auch von YouTube und google.com ) zu google.com .
In Anbetracht dessen wurden mir zwei Hypothesen geboren:
- Entweder beobachtet dich Big Brother, oder
- Dieses schrecklich verschleierte Skript ruft tatsächlich einen Teil der Kamera-API in Browsern auf, um den Benutzer mit einem Fingerabdruck zu versehen, greift jedoch nicht direkt auf die Kamera zu. Daher wird kein Zugriff darauf angefordert (wenn Sie sich jedoch das Video am Anfang des Artikels ansehen, können Sie sehen, wie die LED zwischen dem Öffnen und Schließen der Kamera blinkt, was Sie zum Nachdenken anregt).
Browser halten sich jedoch an die folgende Logik: "Wenn beim Initialisieren der Kamera-API kein Zugriff auf die Kamera besteht, werden keine Maßnahmen ergriffen (wir fordern sie erst dann an, wenn ein tatsächlicher Bedarf besteht). Wenn dies der Fall ist, werden die Kameras initialisiert und geprüft, welche Geräte vorhanden sind und welche sie können "(für die anscheinend das Gerät" entdeckt "wird).
Der Telefonverkäufer des Nutzers hat sich anscheinend nicht besonders mit der Erfindung von Software-Krücken über der Kamera beschäftigt und das Problem einfach gelöst (wofür er übrigens Respekt hat): Beim Zugriff auf die Kamera geht sie. Wenn Sie das Gerät öffnen und Daten mit ihm austauschen, blinkt die Diode.
Insgesamt stellt sich heraus, dass das Problem nicht so schwerwiegend ist, wie es am Anfang schien, und hoffentlich macht niemand Bilder (obwohl dies dennoch "nicht genau" ist, weil meine Kompetenz zu wissen Die Quellcodes von Android reichen nicht aus, um eindeutig zu gewährleisten, in welchem Fall die Anrufliste der Kamera in logcat über das aufgenommene Bild spricht und in welchem Fall - nur über die weltlichen Gespräche der Anwendung mit dem Gerät).
Die Tatsache, dass das Öffnen einer Webseite, auf der ein Iframe mit einem integrierten Video von YouTube angezeigt wird, zu einem Aufruf der Kamera (und sogar zu einigen Verhandlungen mit dem Gerät) führt, ist im Hinblick auf den Datenschutz nach wie vor ziemlich traurig und meiner Meinung nach lohnt es sich immer noch, von der Community diskutiert zu werden.
Was denkst du
PS In englischer Sprache wurde dieser Beitrag auf Medium veröffentlicht .
UPD : danke an die berez und ksil habrachians für ein paket von rechtschreibkorrekturen