Webex van Cisco gebruikte de microfoon om op een onveilige manier achtergrondgeluid bij gebruikers te monitoren, zelfs wanneer mute was geactiveerd.
De mute-knop bij Cisco Webex zorgde ervoor dat andere deelnemers aan een vergadering je niet meer konden horen, maar Cisco zelf bleef meeluisteren. Dat blijkt uit een onderzoek door verschillende Amerikaanse universiteiten. Die analyseerden het gedrag van de mute-functie bij onder andere Zoom, Slack, Microsoft Teams, Cisco Webex, Google Meet, BlueJeans, WhereBy, GoToMeeting, Jitsi Meet en Discord.
Mute betekent niet uitgeschakeld
Volgens het onderzoek is er een structureel probleem met de manier waarop dergelijke applicatie omgaan met mute. Er is immers geen consistente norm voor wat mute precies inhoudt. Schakel je de camera uit, dan gebeurt dat via een duidelijk commando naar het besturingssysteem waarbij het ding echt stopt met opnemen en het bijhorende indicatielampje uitgaat. Zoiets bestaat niet voor de microfoon.
De mute-knop zorgt er bijgevolg niet voor dat de microfoon wordt uitgeschakeld. De meeste apps blijven geluid nog beperkt monitoren. Zo kunnen ze bijvoorbeeld detecteren wanneer iemand spreekt maar mute nog staat ingeschakeld, zodat de gebruiker een melding krijgt. De onderzoekers stellen vast dat de functionaliteit misschien niet helemaal loopt zoals gebruikers verwachten, maar dat er doorgaans geen problemen zijn met de privacy.
Webex luistert mee
Behalve dan bij Cisco Webex. Die tool luisterde op mute mee en stuurde telemetrie van de microfoon naar zijn servers. Het ging daarbij niet om puur geluid, maar om afgeleide data in verband met onder andere het achtergrondvolume. De onderzoekers konden in 82 procent van de gevallen die data correct omzetten naar een activiteit uitgevoerd door de gebruiker. Denk aan koken, schoonmaken of typen. Bovendien versleutelde Webex de data niet tussen de opname en de Windows netwerksocket-API.
Dat gedrag van de tool staat haaks op het privacybeleid van Cisco zelf, waarin het bedrijf claimt dat het meeting-trafiek niet monitort. De onderzoekers stelden Cisco in januari op de hoogte van hun bevindingen. Het bedrijf zou Webex intussen aangepast hebben, zodat het programma geen microfoondata meer als telemetrie opstuurt. Waarom dat in de eerste plaats wel gebeurde, is onduidelijk. Cisco claimt alvast dat de ontdekking van de onderzoekers niet kwalificeert als een bug, wat impliceert dat het bedrijf de functionaliteit opzettelijk inbouwde.
Structurele aanpassing nodig
Dergelijke problemen zouden in de toekomst meer structureel verholpen kunnen worden door een meer standaard-implementatie van mute, waarbij de microfoon naar analogie met de camera wordt behandeld. Mute zou in dat geval betekenen dat de microfoon echt uitstaat, en het besturingssysteem en apps geen data meer kunnen opnemen of analyseren.