Tato chyba Safari může prosakovat vaši nedávnou historii prohlížení

Bylo odhaleno, že chyba Safari 15 může odhalit vaši nedávnou historii procházení a dokonce i některé informace z přihlášených účtů Google.

Blogový příspěvek od Otisk prstu JS (přes 9 až 5 mac) odhalil, že obrovská chyba v Safari 15 může ve skutečnosti uniknout vaši nedávnou historii prohlížení z aplikace.

Každý, kdo propojil svůj účet Google se Safari, může být také vystaven riziku odhalení jeho osobních údajů.

Tato chyba zabezpečení byla spojena s problémem se způsobem, jakým Apple implementuje IndexovanáDB, což je aplikační programovací rozhraní (API), které ukládá data ve vašem prohlížeči.

Chyba znamená, že web může vidět názvy databází pro libovolnou doménu na Macu a iOS, nejen jejich vlastní. Pomocí názvů mohou webové stránky extrahovat identifikační informace z vyhledávací tabulky.

Pokud byste například otevřeli svůj e-mail na jedné webové stránce a poté otevřeli jinou webovou stránku, která je náhodou škodlivá, aplikace Apple of API znamená, že škodlivý web může zobrazit váš e-mail a získat vaše ID uživatele Google, což lze použít ke zjištění dalších informací o vy.

To je obrovská chyba. Na OSX mohou uživatelé Safari (dočasně) přepnout na jiný prohlížeč, aby se vyhnuli úniku dat z různých zdrojů. Uživatelé iOS nemají žádnou takovou možnost, protože Apple uvaluje zákaz na jiné motory prohlížeče. https://t.co/aXdhDVIjTT

— Jake Archibald (@jaffathecake) 16. ledna 2022

Obvykle by tomu zabránila politika nazývaná politika stejného původu, protože omezuje jeden původ v interakci s daty shromážděnými jinde; jinými slovy, pokud byste otevřeli svůj e-mail a poté škodlivý web, nebezpečný web by neměl žádný způsob, jak získat přístup k vašemu e-mailu nebo jiným webovým stránkám, se kterými komunikujete.

FingerprintsJS také zesměšnil a proof-of-concept demo, která nám ukazuje vyhledávací tabulku přibližně 30 názvů domén, které zahrnují zranitelnost prohlížeče IndexedDB, včetně Netflix, Twitter a Xbox. Tyto stránky můžete použít, pokud máte Safari na jakémkoli zařízení Apple, abyste viděli všechny stránky, které jste nedávno otevřeli, a viděli, jak se chyba může dostat k vašim informacím.

Bylo však poukázáno na to, že stejnou techniku ​​lze použít na větší sadu názvů domén, přičemž jakýkoli web, který používá IndexedDB JavaScript API, je nyní náchylný k seškrabování dat.

Všechny aktuální verze Safari pro iOS a Mac jsou bohužel nechráněné, přičemž Apple v současné době nekomentuje problém, který původně FingerprintJS nahlásil 28. listopadu.

Jakmile se objeví další informace, budeme vás o tomto úniku informovat. Požádali jsme Apple o komentář, ale v době, kdy byl tento článek napsán, jsme se neozvali.

Proč věřit naší žurnalistice?

Trusted Reviews, založené v roce 2004, existuje, aby našim čtenářům poskytlo důkladné, nezaujaté a nezávislé rady ohledně toho, co koupit.

Dnes máme 9 milionů uživatelů měsíčně po celém světě a ročně hodnotíme více než 1 000 produktů.