ब्राउज़रों द्वारा छिपे हुए कैमरा सक्रियण: बिग ब्रदर या टेक्नोलॉजी मिसकैरेज?

सभी को नमस्कार!

मेरा नाम वादिम है, और मैं तकनीकी सलाहकारों में से एक हूं, और समवर्ती रूप से, रोसकोमस्वर्थ का सिस्टम प्रशासक।

लेकिन यह पोस्ट मेरे बारे में नहीं होगी। यह एक संदिग्ध (मोबाइल फोन के संदर्भ में गोपनीयता के संदर्भ में) स्थिति के बारे में एक कहानी होगी जो हमने हाल ही में सामना किया था।
यह "आआआआ! आआआ! देखो, बड़े भाई (गूगल) हमारा पीछा कर रहा है" की शैली में हो सकता है, लेकिन फिर भी मैं किसी तरह का विश्लेषण करने और प्रशंसनीय परिकल्पना को आगे बढ़ाने की कोशिश करूंगा। क्यों क्या हुआ क्या हो सकता है

अगर कोई प्रारूप "ला" पत्रिका {{टूक टू जीरो "पसंद नहीं करता है तो मैं पहले से माफी मांगता हूं। लिखो - मुझे सुधारा जाएगा।

So. हमारे पाठकों में से एक ने हमसे संपर्क किया, यह दावा करते हुए कि हमारी साइट पर प्रवेश करने पर (जो, काफी विडंबना है, चेहरे की मान्यता के खिलाफ हमारे अभियान की शीर्ष टाइल - बैनकैम शीर्ष में लटका हुआ है), फ्रंट कैमरा सक्रिय है।

तथ्य यह है कि वह "झोंपड़ी" के बिना नई पीढ़ी के फोन से एक फोन का मालिक है, जिसमें सामने के कैमरे को एक अलग "छोड़" ट्रे में रखा गया है। जो, वास्तव में, कैमरा एक्सेस करते समय निकल जाता है।

जैसा कि आप शायद अनुमान लगाते हैं, मेरे पहले विचारों में संदेह था कि हम किसी भी तरह से चमत्कारिक रूप से, सभी "सुरक्षा तंत्र" के बावजूद जो मैं निर्माण कर रहा था, अभी भी हैक किया गया था और "निर्मित"।

हालांकि, जांच से पता चला कि सब कुछ हमारी साइट के साथ है।

उपरोक्त जांच का संचालन करने और RosKomSvoboda की तकनीकी बातचीत में इसके निष्कर्षों पर चर्चा करने के बाद, मुझे याद आया कि मैं पहले से ही इंटरनेट पर कई मंचों पर सामना कर चुका था जो कि बैनर नेटवर्क के माध्यम से "फिसल गए" (जब एक एंड्रॉइड फोन से मंच खोलते हैं) एपीके-पैकेज (जाहिरा तौर पर, इस उम्मीद में कि उपयोगकर्ता उन्हें स्थापित करेगा, यह सोचकर कि यह इस मंच का आधिकारिक ग्राहक है)।

इस विचार के बारे में सोचने के बाद, मैंने "ट्रैकर्स" को जांचने की कोशिश करने का सुझाव दिया जो कि अनुमत लोगों की सूची में थे (यह पाठक फ़ायरफ़ॉक्स और इसमें इंस्टॉल किए गए uBlock एडऑन का उपयोग करता है)।

कुछ घंटों के प्रयोगों से पता चला कि यदि आप google.com डोमेन तक पहुँच को रोकते हैं तो कैमरा चलना बंद कर देता है। इसके अलावा, कहीं न कहीं, इस उपयोगकर्ता ने कहा कि इस स्थिति को kod.ru वेबसाइट पर भी पुन: पेश किया जा रहा है (इससे पहले हमने "केवल हमारे साथ" संस्करण के साथ काम किया था)।

खुदाई में थोड़ा गहरा जाने के बाद, मैंने पाया कि google.com अनुरोध न केवल Google ट्रैकर्स (उर्फ "एनालिटिक्स") को google.com हैं, बल्कि एक पृष्ठ पर YouTube वीडियो की सामान्य "एम्बेडिंग" भी करते हैं। kod.ru पर कैमरे के बाहर निकलने की प्रजनन kod.ru भी इस सिद्धांत में गिर गई (जैसा कि यह निकला, परीक्षण किए गए पृष्ठ पर YouTube से एक वीडियो भी था)।

इस सिद्धांत की और पुष्टि करने के लिए, मैंने एक यादृच्छिक ब्लॉग पोस्ट को ला कहा "एक ब्लॉग में एक YouTube वीडियो कैसे डालें, एक वीडियो निर्देश" एक अंतर्निहित वीडियो के साथ, और इस पर स्थिति भी पुन: प्रस्तुत की गई थी।

So. सब ठीक है। फिलहाल, हमारे हाथ में इस तरह की जानकारी है: पेज पर एक अंतर्निहित YouTube वीडियो की उपस्थिति google.com से कुछ स्क्रिप्ट के लोडिंग को ट्रिगर करती है, और वे, बदले में, कैमरे से बाहर निकलते हैं।

ठीक है, आगे खुदाई करें।

ब्राउज़र डिबगिंग टूल में चारों ओर घूमते हुए, मैंने पाया कि www.google.com (अर्थात् www ) से लोड किया गया एक अजीब और भयानक रूप से बाधित (इतना कि मेरे द्वारा खोज परिणामों से निपटने की कोशिश की गई) में से कोई भी, एक नाम के साथ भी लोड नहीं किया गया obfuscated (Google को जानते हुए, मैं यह मान सकता हूं कि थोड़ी देर बाद यह स्क्रिप्ट गायब हो जाएगी और इसके स्थान पर एक अलग (लेकिन समान रूप से अपठनीय) नाम वाली स्क्रिप्ट डाल दी जाएगी। इसलिए, यहां इसका कोड है , बस मामले में)।

स्क्रिप्ट पर एक त्वरित नज़र यहाँ कैमरे के किसी भी संदर्भ को नहीं दिखाती है, और डीबगिंग में गोता लगाने का समय और अवसर भी अधिक गहरा नहीं है और यह व्याख्या करता है कि यह वहां क्या करता है (हालांकि यदि आप में से कोई भी पाठक चाहते हैं, तो आप ऐसा कर सकते हैं)।

हम दूसरी तरफ से प्रवेश करने की कोशिश करते हैं:
व्यक्तिगत रूप से, मेरे पास एक निकास कैमरे के बिना एक फोन है, इसलिए उसके लिए अपील को पकड़ना इतना आसान नहीं है। लेकिन मैं इसे USB के माध्यम से कनेक्ट कर सकता हूं और adb logcat | grep -C5 camer बना सकता हूं adb logcat | grep -C5 camer ( grep - क्योंकि अन्यथा प्रत्येक छींक के लिए बहुत अधिक अप्रासंगिक कचरा होता है, जिसमें आपकी उंगली से स्क्रीन को टैप करना या फोन को अंतरिक्ष में स्थानांतरित करना शामिल है)। मैं वास्तव में क्या कर रहा हूँ ...

तो, नंबर एक प्रयास: मैं परीक्षण स्थलों पर जाता हूं, और ... कुछ भी नहीं!

विचार में ढोंगी, कि समस्या लगता है, सब के बाद, कहीं न कहीं उपयोगकर्ता की ओर से।

इस प्रक्रिया के समानांतर, हम स्थिति पर चर्चा कर रहे हैं RosKomSvobody की उक्त तकनीकी चैट में। कुछ समय बाद, प्रतिभागियों में से एक ने राय प्राप्त की कि, वे कहते हैं, मोबाइल ब्राउज़र चालाक हैं: वे हमेशा कैमरे के लिए वैश्विक उपयोग के अधिकार नहीं मांगते हैं, और यदि उन्हें अनुमति नहीं दी जाती है, तो कुछ मामलों में वे नहीं पूछ सकते हैं!

मैं एप्लिकेशन सेटिंग्स पर जाता हूं और देखता हूं कि, हां, मैंने फ़ायरफ़ॉक्स के लिए कैमरे के लिए अनुमति नहीं दी है। मैं इसे चालू करता हूं, इसे फिर से जांचें, और निम्नलिखित के साथ "स्क्रीन" के एक जोड़े के लिए एक शीट देखें:

अहा! कैमरे के लिए अपील, फिर भी है!
इसके अलावा, "डिवाइस जानकारी प्राप्त करें" के साथ लाइन के तुरंत बाद कैमरा डिवाइस का एक स्पष्ट उद्घाटन है:

 12-12 17:10:14.734 751 6924 I QCamera : <HAL><INFO> int qcamera::QCamera2Factory::cameraDeviceOpen(int, struct hw_device_t **): 405: Open camera id 0 API version 256 

मैं क्रोम के साथ समान की जांच करता हूं, और सब कुछ पुन: पेश किया जाता है: यदि कैमरे के अधिकार छीन लिए जाते हैं, तो लॉग में "मेमनों की चुप्पी", और यदि जारी किया जाता है - कैमरे तक पहुंचने के रूप में एक ही शीट केसर दूध टोपी के साथ दिखाई देती है।

तो समस्या यह है:
क) उपयोगकर्ता के लिए स्थानीय नहीं,
b) ब्राउज़र के लिए विशिष्ट नहीं है।

दिलचस्प बात यह है कि इन सभी घटनाओं के दौरान, इनमें से किसी भी ब्राउज़र ने परीक्षण में भाग लेने वाले किसी भी साइट से कैमरे का उपयोग करने की अनुमति के बारे में एक शब्द कहने की कोशिश नहीं की (और वास्तव में, YouTube और google.com से भी)।

उपरोक्त के प्रकाश में, मेरे लिए दो परिकल्पनाएँ पैदा हुईं:

1. या तो बिग ब्रदर, आपको देख रहा है, या
2. वास्तविकता में बुरी तरह से अस्पष्ट स्क्रिप्ट उपयोगकर्ता के फिंगरप्रिंटिंग के लिए ब्राउज़रों में कैमरा एपीआई के कुछ हिस्से को कॉल करती है, लेकिन सीधे कैमरे तक नहीं पहुंचती है। इसलिए, इसे एक्सेस करने के लिए कोई अनुरोध नहीं है (हालांकि, यदि आप लेख की शुरुआत में वीडियो को देखते हैं, तो आप देख सकते हैं कि कैमरा खोलने और बंद करने के बीच एलईडी कैसे झपकाता है, जो आपको लगता है)।

ब्राउज़र, हालांकि, यहाँ तर्क का पालन करते हैं: "कैमरा एपीआई को शुरू करते समय, अगर कैमरे तक पहुंच नहीं होती है, तो हम कुछ भी नहीं करते हैं (हम इसे तब तक अनुरोध नहीं करते हैं जब तक कि कोई वास्तविक आवश्यकता न हो), और अगर वहाँ है, तो हम कैमरों को इनिशियलाइज़ करते हैं और देखते हैं कि हमारे पास क्या डिवाइस हैं और क्या हैं वे कर सकते हैं "(जिसके लिए, जाहिरा तौर पर, डिवाइस" खोजा गया है ")।

उपयोगकर्ता का टेलीफोन विक्रेता, ऐसा लगता है, विशेष रूप से कैमरे के ऊपर सॉफ्टवेयर बैसाखी के आविष्कार में देरी नहीं की और बस समस्या को हल किया (जिसके लिए वह, सम्मान से): कैमरा एक्सेस करते समय, वह छोड़ देता है। जब आप डिवाइस को खोलते हैं और इसके साथ डेटा का आदान-प्रदान करते हैं, तो डायोड ब्लिंक करता है।

कुल मिलाकर, यह पता चला है कि समस्या इतनी घातक नहीं है क्योंकि यह शुरुआत में लग रहा था, और, उम्मीद है, कोई भी चित्र नहीं लेता है (हालांकि यह, फिर भी, "अभी भी सटीक नहीं है", क्योंकि जानने में मेरी योग्यता एंड्रॉइड के स्रोत कोड स्पष्ट रूप से गारंटी देने के लिए पर्याप्त नहीं हैं कि किस स्थिति में लॉगकैट में कैमरे पर कॉल की शीट ली गई तस्वीर के बारे में बोलती है, और जिसमें - डिवाइस के साथ आवेदन के धर्मनिरपेक्ष वार्तालाप के बारे में)।

हालाँकि, फिर भी, बहुत से तथ्य जो किसी भी वेब पेज को खोलते हैं, जिस पर YouTube से अंतर्निहित वीडियो के साथ एक iframe होगा, कैमरे को कॉल करता है (और यहां तक ​​कि डिवाइस के साथ किसी प्रकार की बातचीत) गोपनीयता के संदर्भ में अभी भी दुखी है और, यह मुझे लगता है, यह अभी भी समुदाय द्वारा चर्चा के लायक है।

आपको क्या लगता है?

PS In English, यह पोस्ट मध्यम पर प्रकाशित हुई थी ।

UPD : वर्तनी सुधारों के पैकेज के लिए berez और ksil habrachians को धन्यवाद (अन्यथा, जब आप पढ़ते हैं और पाठ के विभिन्न टुकड़ों को फिर से लिखते हैं, हमेशा की तरह, "कुछ कीड़े को सही करते हुए, दूसरों का एक गुच्छा लाया")