Google está desarrollando una nueva función llamada «WebUSB sin restricciones«, que permitirá a las aplicaciones web aisladas eludir las restricciones de seguridad en la API WebUSB.
WebUSB es una API de JavaScript que permite a las aplicaciones web acceder a dispositivos USB locales en una computadora.
Para proteger datos sensibles y prevenir scripts maliciosos, WebUSB incluye restricciones para ciertas clases de interfaces, como dispositivos de audio, HID (dispositivo de interfaz humana), almacenamiento masivo, tarjetas inteligentes, vídeo, dispositivos de audio/vídeo y controladores inalámbricos.
Además, la especificación WebUSB bloquea el acceso a dispositivos USB específicos, como YubiKeys, llaves Google Titan y llaves de seguridad Feitian, utilizados para la autenticación de múltiples factores.
Google está probando una función llamada «WebUSB sin restricciones» que permitirá a las aplicaciones web aisladas acceder a estos dispositivos y interfaces restringidas.
«La especificación WebUSB define una lista de dispositivos vulnerables y una tabla de clases de interfaces protegidas que están bloqueadas para el acceso a través de WebUSB,» señaló Google en una actualización de estado de Chrome.
«Con esta función, las aplicaciones web aisladas con permiso para acceder a la característica de la Política de Permisos ‘usb-unrestricted’ podrán acceder a dispositivos y clases de interfaces protegidas en la lista bloqueada.«
Las aplicaciones web aisladas son aplicaciones que no están alojadas en servidores web en vivo, sino que están empaquetadas en Web Bundles, firmadas por su desarrollador y distribuidas a los usuarios finales, y a menudo se crean para uso interno en empresas.
Para que esto funcione, estas aplicaciones web deben tener permiso para usar la función «usb-unrestricted».
Cuando una aplicación con este permiso intenta acceder a un dispositivo USB, el sistema primero verifica si está en la lista de dispositivos vulnerables. Si lo está, el acceso normalmente se bloquea.
Sin embargo, esta restricción se omite para las aplicaciones web con el permiso «usb-unrestricted».
El sistema también verifica si el dispositivo está en la lista de dispositivos permitidos de la aplicación. Si no lo está, se deniega el acceso.
Además, el sistema verifica si la interfaz accedida está marcada como protegida. Si lo está, y la aplicación no tiene el permiso «usb-unrestricted», se deniega el acceso.
La función propuesta por Google permitirá que las aplicaciones web aisladas de confianza accedan a una gama más amplia de dispositivos USB, ofreciendo una mayor funcionalidad en un entorno seguro.
Google planea lanzar esta función para pruebas en Chrome 128, previsto para agosto de 2024.
