Пользователи открытого браузера Chromium и основанного на нем Google Chrome обнаружили скрытую установку расширения, прослушивающего звуковой фон около персонального компьютера. Они утверждают, что это расширение работает всегда, даже если в браузере функция голосового управления выключена.

Скрытая установка расширения

Компания Google скрытно устанавливала на компьютеры интернет-пользователей расширение, предназначенное для прослушки звукового фона и поиска в нем фразы «ОК, Google». Этот факт независимо друг от друга выявили несколько пользователей браузера Chromium версии 43 и базирующегося на нем Google Chrome на операционных системах Debian Linux и Apple OS X. Они сообщили об этом на баг-трекерах Debian и Chromium.

Chromium — проект Google по разработке браузера с открытым исходным кодом. Поисковая компания — один из основных контрибьютров проекта. На основе Chromium корпорация выпускает браузер под собственным брендом — Google Chrome.

Жалобы пользователей

«После того как я обновил Chromium до 43 версии, я заметил, что при первом выходе в интернет приложение начинает фоновую загрузку расширения Chrome Hotword Shared Module, содержащего бинарный файл без исходного кода. Возможности отменить эту загрузку я не нашел», — сообщил на баг-трекере Debian пользователь Yoshihito, первый обнаруживший проблему. На его компьютере установлена операционная система Debian Linux.

Вскоре начали появляться сообщения от других участников проекта. Один из пользователей компьютера с операционной системой Apple OS X заявил, что смог воспроизвести проблему в Google Chrome. Он рассказал, как это сделать. Сначала нужно загрузить Chrome версии 43.x, затем отключить интернет и установить браузер. После этого включить интернет. Затем можно наблюдать скрытую установку расширения в системной папке. Пользователь отметил, что Chrome не спросил у него разрешения на загрузку и никаким образом не уведомил о ней. Кроме того, расширение не отображается в списке расширений, как это должно быть.

Проприетарный компонент в открытом ПО

Сообщество возмутил тот факт, что расширение представляет собой бинарный файл и не сопровождается исходным кодом, как это принято в любых открытых проектах, к которым относится и Chromium. Это, в том числе, противоречит общественному договору Debian, который запрещает дистрибуцию программного обеспечения без открытого исходного кода. Участники сообщества недоумевают, как это расширение было допущено участниками проекта и призывают ужесточить правила контроля приложений.

Ответ Google

В Google отреагировали на многочисленные комментарии в интернете развернутым сообщением на баг-трекере Chromium. Представитель компании заверил, что Chrome Hotword Shared Module по умолчанию выключен и не работает до тех пор, пока пользователь не включит функцию распознавания команды «ОК, Google» в настройках браузера.

В компании также заявили, что не несут ответственность за состав программного обеспечения, дистрибуцией которого занимается сообщество Debian. «Наша основная задача — подготовка кода. Если кто-то (например, сообщество Debian) занимается распространением браузера, это его ответственность — соблюдать собственные правила», — сказали в компании.

«Что касается Chrome, то это закрытое приложение, в отличие от Chromium. И оно может включать любые проприетарные компоненты, необходимые для реализации базовой функциональности браузера», — добавили в Google. Что же касается отсутствия Chrome Hotword Shared Module в списке расширений — то это опять же потому, что оно реализует базовую функциональность (распознавание фразы «ОК, Google»), поэтому компания приняла решение не показывать его.

Google устранила проблему в одном из последующих обновлений Chromium 43.x во избежании эскалации конфликта.

Подводные камни

Шведский предприниматель, основатель Шведской пиратской партии Рикард Фальквинге (Rick Falkvinge) написал в своем блоге, что в действительности расширение начинает прослушивать звуковой фон сразу после установки вне зависимости от того, включил ли пользователь эту функцию в браузере или нет. Он сказал, что это подтверждается состоянием микрофона во время работы браузера. Активация функции в браузере — лишь команда программе для того, чтобы она реагировала на звуковые колебания. Таким образом, полагает Фальквинге, компания может запросто прослушивать разговоры и отсылать их на любой удаленный сервер.