Závažná chyba ochrany osobných údajov Apple Safari znamená, že všetky webové stránky majú prístup k vášmu Google ID a ďalším súkromným údajom

Ak vám záleží na vašom súkromí, znamená to, že musíte odložiť svoj iPhone, po závažnej chybe implementácie v Safari znamená, že každá webová stránka je schopná čítať niektoré vaše súkromné ​​údaje a nedávnu históriu prehliadania, a to aj pri použití režimu Súkromného prehliadania.

Problém je v tom, ako Safari implementuje IndexedDB, databázu založenú na prehliadači, ktorú bežne používajú webové aplikácie. Väčšina prehliadačov vytvára pre každú webovú lokalitu novú inštanciu IndexedDB, ku ktorej je možné pristupovať iba z tejto webovej lokality.

Safari však vytvára prázdne verzie IndexedDB vytvorené každou webovou stránkou na každej inej webovej stránke, čo znamená, že pre IndexedDB Safari správne nerešpektuje politiku rovnakého pôvodu.

Aj keď sú tieňové kópie IndexedDB vytvorené pre iné webové stránky prázdne, stále majú rovnaký názov ako skutočná databáza vytvorená pôvodnou webovou aplikáciou, z ktorej môžu uniknúť súkromné ​​informácie. Samotná prítomnosť databázy dá ostatným webovým stránkam vedieť, že ste navštívili inú webovú stránku, napríklad prítomnosť Netflix IndexedDB môže Amazonu povedať, že ste používateľom Netflixu. Ešte horšie však je, že názov databázy môže uniknúť vašim povereniam. Názov databázy pre aplikácie Google (ako je Gmail alebo YouTube) zahŕňa napríklad vaše GoogleID, ktoré možno použiť na prístup k vašim verejne dostupným informáciám, ako je váš profilový obrázok.

Chyba bola objavil a nahlásil FingerprintJS 28. novembra, no Apple zatiaľ nepodnikol žiadne kroky.

Problém môžete otestovať na webovej stránke FingerprintJS proof of concept tu, ktorý skontroluje, či ste nedávno navštívili 30 rôznych veľkých webových stránok.

Používatelia systému macOS môžu a mali by používať alternatívny prehliadač, ale v systéme iOS všetky prehliadače používajú webový nástroj Safari, čo znamená, že všetci používatelia iPhone nemajú žiadne obmedzenia okrem toho, že prestanú používať prehliadač na svojom telefóne.

Pozrite si vysvetľujúce video FingerprintJS nižšie:

via na vrchole