Abo
  • IT-Karriere:

Mikrofonzugriff: Wieder Mithör-Bug in Chrome entdeckt

Erneut ist ein Fehler entdeckt worden, der das unbemerkte Mithören über das Speech-API in Chrome ermöglicht. Genutzt wird dazu eine längst überholte Version des APIs, die es erlaubt, das Element zu verstecken.

Artikel veröffentlicht am ,
Spracherkennung in Google Chrome
Spracherkennung in Google Chrome (Bild: Google)

Bereits im Januar ist bekanntgeworden, dass Chrome eine Schwachstelle enthält, die es ermöglicht, unbemerkt die Spracheingabe über das Mikrofon aufzuzeichnen. Mit dem nun gefundenen Fehler ist dies ebenfalls möglich, allerdings über ein deutlich anderes Angriffsszenario.

Stellenmarkt
  1. ifp - Institut für Managementdiagnostik Will & Partner GmbH & Co. KG, Großraum München
  2. MAINGAU Energie GmbH, Obertshausen

So wird für den neuen Angriff eine sehr alte Version des Web-Speech-APIs benutzt, die vermutlich seit Version 11 in Chrome zur Verfügung stehen könnte. Das Problem an dem X-webkit-speech-Tag ist, dass ein damit erstelltes Element auf verschiedene Arten verändert werden kann, was ausgenutzt werden könnte.

So kann die Sichtbarkeit des Sprachelements in Größe und Deckkraft verändert werden. Zudem kann das Element sämtliche Klicks, die auf einer Webseite platziert werden, übernehmen, ohne selbst sichtbar zu sein, und der Hinweis auf eine Aufzeichnung kann manipuliert und außerhalb des Bildschirms gerendert werden.

Vereinfacht ausgedrückt wird das Element einfach gut versteckt und Nutzer bemerken so nicht, dass sie belauscht werden. Denn auch das nach dem Bug vom Januar eingeführte Pop-up, das die Aufnahme sichtbar machen sollte, erscheint bei dem dargestellten Angriff nicht.

Gegenüber dem aktuell in Chrome verwendeten Speech-API hat das in dem beschriebenen Angriff eingesetzte API den technischen Nachteil, dass darüber keine dauerhaften Aufnahmen gemacht werden können. Die Aufnahme muss also für jeden Satz neu gestartet werden, was einen möglichen Angriff etwas weniger gefährlich erscheinen lässt.

Ein Proof-of-Concept, der den Fehler ausnutzt, steht online bereit, ebenso wie eine detaillierte Erklärung. Der Bug-Report, der die Chrome-Entwickler dazu auffordert, das veraltete Speech-API einzumotten, ist bereits über ein Jahr alt.



Anzeige
Spiele-Angebote
  1. 39,99€ (Release am 3. Dezember)
  2. 69,99€ (Release am 25. Oktober)
  3. 12,99€

Folgen Sie uns
       


Star Wars Jedi Fallen Order angespielt

In Star Wars Jedi Fallen Order kämpft der Spieler als junger Jedi-Ritter gegen das schier übermächtige Imperium.

Star Wars Jedi Fallen Order angespielt Video aufrufen
Cyberangriffe: Attribution ist wie ein Indizienprozess
Cyberangriffe
Attribution ist wie ein Indizienprozess

Russland hat den Bundestag gehackt! China wollte die Bayer AG ausspionieren! Bei großen Hackerangriffen ist oft der Fingerzeig auf den mutmaßlichen Täter nicht weit. Knallharte Beweise dafür gibt es selten, Hinweise sind aber kaum zu vermeiden.
Von Anna Biselli

  1. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken
  2. Internet of Things Neue Angriffe der Hackergruppe Fancy Bear
  3. IT-Security Hoodie-Klischeebilder sollen durch Wettbewerb verschwinden

Rohstoffe: Lithium aus dem heißen Untergrund
Rohstoffe
Lithium aus dem heißen Untergrund

Liefern Geothermiekraftwerke in Südwestdeutschland bald nicht nur Strom und Wärme, sondern auch einen wichtigen Rohstoff für die Akkus von Smartphones, Tablets und Elektroautos? Das Thermalwasser hat einen so hohen Gehalt an Lithium, dass sich ein Abbau lohnen könnte. Doch es gibt auch Gegner.
Ein Bericht von Werner Pluta

  1. Wasserkraft Strom aus dem Strom
  2. Energie Wie Mikroben Methan mit Windstrom produzieren
  3. Erneuerbare Energien Die Energiewende braucht Wasserstoff

Gemini Man: Überflüssiges Klonexperiment
Gemini Man
Überflüssiges Klonexperiment

Am 3. Oktober kommt mit Gemini Man ein ambitioniertes Projekt in die deutschen Kinos: Mit HFR-Projektion in 60 Bildern pro Sekunde und Will Smith, der gegen sein digital verjüngtes Ebenbild kämpft, betreibt der Actionfilm technisch viel Aufwand. Das Seherlebnis ist jedoch bestenfalls komisch.
Von Daniel Pook

  1. Filmkritik Apollo 11 Echte Mondlandung als packende Kinozeitreise

    •  /