Google-Entwickler schlagen Web-API für Zugriff auf USB-Geräte vor

Zwei Google-Entwickler haben einen Standardisierungsvorschlag für WebUSB veröffentlicht. In ihrem Arbeitsdokument beschreiben sie eine Programmierschnittstelle für eine sichere Verbindung von USB-Geräten zu einer Webseite.

Bei diesem direkten Zugriff auf USB-Geräte geht es nicht um übliche Peripherie wie Tastatur, Maus oder externe Festplatte. Gedacht ist vielmehr an Geräte, für die das jeweilige Betriebssystem nicht bereits einen ansprechbaren Standardtreiber bereithält. Das könnten etwa 3D-Drucker sein, deren Hersteller von ihrer Website aus für die Einrichtung des Geräts sorgen wollen. Nützlich könnte sich eine solche Web-API auch für ein angeschlossenes Virtual-Reality-Headset erweisen.

„Mit dieser API werden Hardwarehersteller in der Lage sein, plattformübergreifende JavaScript-SDKs für ihre Geräte zu schaffen“, erläutern Reilly Grant und Ken Rockot ihren Vorschlag. „Das wird gut sein für das Web, weil vom ersten Tag an neue und innovative Hardware geschaffen werden kann, ohne darauf warten zu müssen, dass eine neue Gerätekategorie verbreitet genug ist, damit Browser eine spezifische API anbieten.“

In ihrem Entwurf räumen sie ein, dass bei WebUSB potentielle Auswirkungen auf die Sicherheit zu bedenken sind. Auch ihnen sind Angriffe mittels umprogrammierter USB-Geräte bekannt, die auf die damit verbundenen Computer zielten. Zwei unabhängige Sicherheitsforscher demonstrierten etwa mit der Software BadUSB, dass die Firmware von USB-Controllern in Peripheriegeräten manipuliert werden kann, da die Gerätesoftware nicht vor einer Neuprogrammierung geschützt ist. Beliebige USB-Geräte inklusive Speichersticks ließen sich daher in ein Hacking-Tool verwandeln, das praktisch jeden Computer kompromittieren kann.

Wegen dieses Risikos schlagen die Google-Entwickler vor, Verbindungen auf ausdrücklich erlaubte Webseiten zu beschränken. Um zu verhindern, dass USB-Geräte Informationen preisgeben oder die Privatsphäre verletzen, regen sie außerdem an, dass der Nutzer einer Site zuerst die Erlaubnis erteilen muss, bevor diese nach dem Vorhandensein eines Gerätes suchen und sich damit verbinden kann.

Die beiden Entwickler weisen deutlich darauf hin, dass es sich nur um den Entwurf für einen potentiellen Standard handelt. Der Vorschlag wird zudem bislang von keiner Standardisierungsgruppe unterstützt.

[mit Material von Liam Tung, ZDNet.com]