Atualização do Chrome fazia browser ouvir tudo ao redor sem permissão

Uma nova função adicionada ao Chrome no update para sua versão 43 provocou a ira de defensores da privacidade na web nestes últimos dias. Relacionado ao reconhecimento de comandos de voz, o novo recurso era ligado por padrão, e fazia com que o browser ouvisse tudo que estivesse próximo ao microfone do PC, quase como um “espião infiltrado”.

O recurso era parte da extensão Chrome Hotword Shared Module, usada para reconhecer o comando “Ok, Google” e adicionada sem muito alarde – e automaticamente, sem opção de rejeitá-la – no navegador e em sua base de código aberto, o Chromium. Mas apesar da discrição, sua presença foi detectada já no final do mês passado, quando um usuário reclamou nos fóruns do Debian sobre a adição de uma “bolha binária” (que é basicamente um traço de software proprietário) no código que deveria ser todo liberado.

As críticas logo foram parar no repositório do Chromium, e em resposta a outra reclamação, um dos envolvidos no projeto afirmou que o add-on era mesmo baixado de forma automática. Porém, o mesmo desenvolvedor, identificado como mgiuca, deixou claro que era preciso ativá-la manualmente – o que, de acordo com outro usuário, não era bem verdade.

Em seu blog, Ofer Zelog contou que percebeu a luz da webcam de seu notebook acendendo e apagando sozinha, como se o dispositivo fosse acessado por algum processo. “Eu abri o gerenciador de tarefas e procurei por algum programa para colocar a culpa. Não encontrei nada”, escreveu. “Desliguei alguns processos suspeitos, mas eles não fizeram nenhuma diferença, e acabei deixando como estava até descobrir que era o Google.”

Outros usuários dos navegadores relataram casos similares nos dois fóruns, e destacaram que o problema maior é que o recurso estava presente no código do Chromium. Como deveria ser todo aberto, a adição de uma “bolha” de software proprietário na fonte fere o conceito por não poder ser avaliada por desenvolvedores de fora. Assim, ficava impossível saber para onde e para quem de fato o Google enviaria as vozes e os dados coletados.

Por sorte, diante das críticas, a empresa recuou na decisão de adicionar o add-on. O mesmo mgiuca que falou do download automático da extensão escreveu que a companhia “decidiu remover completamente o componente de hotwording do Chromium”. “Como ele não é open source, ele não pertence a um browser open source.”

Dessa forma, builds do navegador a partir da r335874 (versão 45, com lançamento previsto para o próximo dia 26) terão a funcionalidade desabilitada e não receberão o plugin de forma automática. Se um usuário for usá-la, terá que customizar uma build com um comando GYP “enable_hotwording=1”. As mudanças não afetam tanto o Chrome, mas ao menos fazem com que o reconhecimento de voz seja desativado por padrão.