Клиент Cisco Webex уличили в сборе звуковой телеметрии при «отключённом» микрофоне

[душман]

Учёные Висконсинского университета в Мадисоне и Чикагского университета Лойолы (США) исследовали работу клиентских приложений популярных сервисов видеосвязи и установили, что большинство из них фактически не отключают микрофоны, когда пользователь выбирает соответствующую команду — они сохраняют доступ к аудиоданным или даже собирают некие телеметрические данные.

Авторы исследования изучили работу наиболее популярных приложений для видеоконференций и установили, что имеющиеся в их интерфейсе кнопки отключения звука не деактивируют микрофон штатными средствами операционных систем — корректно работают только веб-версии клиентов и приложения на базе WebRTC. 

Иными словами, кнопки отключения звука в большинстве приложений функционируют не так, как того ожидают пользователи, и микрофоны фактически продолжают работать, хотя приложения утверждают обратное.

В рамках проекта исследовалась работа следующих приложений: Zoom (корпоративная версия), Slack, Microsoft Teams/Skype, Cisco Webex, Google Meet, BlueJeans, WhereBy, GoToMeeting, Jitsi Meet и Discord. Как выяснилось, все они сохраняли возможность записывать звук при отключённом средствами приложений микрофоне, хотя в большинстве своём её и не использовали.

Печальным исключением оказался клиент Cisco Webex, который продолжал опрос микрофона в любом состоянии и отправлял данные телеметрии на серверы разработчика примерно раз в минуту. Эти данные содержали только информацию о фоновой громкости в помещении, где находился компьютер с установленным клиентским приложением. 

Однако учёным оказалось достаточно этой информации, чтобы построить собственный классификатор и с вероятностью 82 % делать вывод о происходящем, делая выбор из 6 базовых вариантов: готовка, уборка, набор текста и т.д. Более того, в отличие от других приложений, клиент Webex перед отправкой вообще не шифровал данные.