Google arbetar på en patch för att fixa Chromecast och Google Home-bugg som avslöjar användarens plats

Google arbetar på att släppa en patch för en bugg som avslöjar användarens plats. Problemet upptäcktes först av forskaren Craig Young som arbetar på ett säkerhetsföretag Tripwire. Felet påverkar Chromecast och Google Home.

Enligt Young tillåter buggen en webbplats att samla in användarens exakta platsdata genom att utnyttja ett kryphål i Googles system för att krysskolla en lista över närliggande trådlösa nätverk med Googles exakta geolokaliseringstjänster.

Jag har bara testat detta i tre miljöer än så länge, men i varje fall motsvarar platsen rätt gatuadress. Den Wi-Fi-baserade geolokaliseringen fungerar genom att triangulera en position baserad på signalstyrkor till Wi-Fi-åtkomstpunkter med kända platser baserat på rapportering från människors telefoner.

– Craig Young

Enheter som Chromecast och Google Home kräver vanligtvis inte autentisering från tredje part för att ta emot data på lokala nätverk, dåliga aktörer kan utnyttja de generösa behörigheterna för att samla in den känsliga informationen.

Det är vanligt att webbplatser registrerar den numeriska IP-adressen (Internet Protocol) för alla besökare, och dessa adresser kan användas i kombination med geolokaliseringsverktyg online för att samla in information om varje besökares hemstad eller region. Men den här typen av platsinformation är ofta ganska oprecis. I många fall ger IP-geolokalisering endast en allmän uppfattning om var IP-adressen kan vara baserad geografiskt.

Detta är vanligtvis inte fallet med Googles geolokaliseringsdata, som inkluderar omfattande kartor över trådlösa nätverksnamn runt om i världen, som länkar varje enskilt Wi-Fi-nätverk till en motsvarande fysisk plats. Beväpnad med dessa data kan Google mycket ofta fastställa en användares plats inom några meter (särskilt i tätbefolkade områden), genom att triangulera användaren mellan flera närliggande mappade Wi-Fi-åtkomstpunkter. [Sidoanteckning: Alla som vill se detta i praktiken behöver bara stänga av platsdata och ta bort SIM-kortet från en smartphone och se hur väl navigeringsappar som Googles Waze fortfarande kan ta reda på var du är].

– Brian Krebs

Krebs har redan kontaktat Google som i sin tur har gått med på att åtgärda problemet. Företaget siktar på att släppa patchen i mitten av juli.

Källa: Krebs på säkerhet; Via: Gränsen