Die Videokonferenz-Software Webex von Cisco telefonierte bei stummgeschalteten Mikrofon nach Hause, wie amerikanische Wissenschaftler herausgefunden haben.
Es kann praktisch sein, wenn eine Videokonferenz-Software darauf hinweist, dass man spricht, aber noch stummgeschaltet ist. Dafür muss die Software aber nicht kontinuierlich in Echtzeit die Mikrofon-Daten auswerten oder gar ständig nach Hause telefonieren.
Amerikanische Wissenschaftler, die gängige Videokonferenz-Software prüften, fanden heraus, dass Webex von Cisco bei stummgeschaltetem Mikrofon nach Hause telefonierte.
Heise Online lieferte unter anderem folgende Zusammenfassung:
«[Die Experten] fanden prinzipiell heraus, dass alle […] Systeme die Option haben, Audio aufzunehmen, auch wenn das Mikrofon auf ‹Mute› gestellt ist. Nur bei einer App stellen sie aber fest, dass diese damit auch Messungen von Audiosignalen durchführt. […]»
Und:
«Dem Team zufolge sendet Webex ungefähr jede Minute in jedem Fall Netzwerkpakete mit Audio-Telemetriedaten an Server von Cisco. Bei diesen Messwerten handelt es sich nicht um aufgezeichneten Ton, sondern um einen daraus abgeleiteten Wert, der dem Lautstärkepegel der Hintergrundaktivitäten entspricht. Trotzdem reichten die Daten den Forschern aus, um solche Tätigkeiten im Raum mit dem benutzten Endgerät mit einer Trefferquote von 82 Prozent zu identifizieren. Das erstellte Werkzeug analysierte die Übertragung und wählte aus sechs möglichen Aktivitäten wie Kochen, Putzen oder Tippen auf der Tastatur die wahrscheinlichste vor Ort durchgeführte aus.»
Ausserdem wurden die Daten unverschlüsselt übertragen:
«Noch gravierender unter Sicherheitsaspekten schätzte das Team die Erkenntnis ein, dass Webex als einziges der untersuchten Konferenzsysteme den ausgehenden Datenstrom nicht durchgehend verschlüssele. Nur bei der Cisco-Lösung seien sie in der Lage gewesen, den Klartext abzufangen […]. Generell seien die Überwachungsvorkehrungen der App nicht mit den Datenschutzbestimmungen von Webex vereinbar. Darin heiße es, dass das Programm ‹den Datenverkehr oder den Inhalt von Meetings weder überwacht noch stört›.»
Die Wisconsin Privacy and Security Group hat ihre Studie unter dem Titel «Are You Really Muted?: A Privacy Analysis of Mute Buttons in Video Conferencing Apps» (PDF) online veröffentlicht.
Cisco scheint das Problem behoben zu haben, bestreitet aber eine Schwachstelle:
«Nachdem die Forscher Cisco über ihre Befunde informiert hatten, stellte der Konzern […] mittlerweile sicher, dass Webex keine Mikrofon-Telemetriedaten mehr überträgt. Ein Sprecher habe das nach Hause telefonieren aber zugleich verteidigt. Webex verwendete die Messwerte demnach, ‹um einem Benutzer mitzuteilen, dass er stummgeschaltet ist›. Damit sei eine einschlägige Benachrichtigungsfunktion unterstützt worden. Es habe sich nicht um eine Schwachstelle in dem System gehandelt.»
Die Wissenschaftler widersprechen in ihrer Studie, denn für diese Benachrichtigung würde ein «Silent Flag» genügen:
[…] «apps have permissions to sample the microphone and read data; but instead of reading raw bytes they only check the microphone’s status flags:silent, data discontinuity, and timestamp error. We assume that the VCAs, like Zoom, are primarily interested in the silent flag to tell if a user is talking while the software mute is active. In this mode, apps do not read a continuous real-time stream of data in the same way as they would while unmuted. Most Windows and macOS native apps can check if a user is talking even while muted but do not continuously sample audio in the same way as they would while unmuted. In this mode, the microphone status indicator in Windows and macOS remains continuously illuminated, reporting that the app has access to the microphone. We found that applications in this state do not show any evidence of raw audio data being accessed through the API.»
Siehe auch: Cisco’s Webex app phoned home audio telemetry even when muted (The Register)
Bild: Pexels / Anna Shvets, Pexels-Lizenz.