Ozbiljan bug u Safariju, otkriven u izvještaji izdanje FingerprintJS, može otkriti informacije o vašoj nedavnoj povijesti pregledavanja, pa čak i neke informacije o korisniku koji je prijavljen na Google račun.
Greška u Safarijevoj implementaciji IndexedDB-a na Macu i iOS-u znači da web stranica može vidjeti nazive baze podataka za bilo koju domenu, a ne samo za vlastitu. Nazivi baza podataka mogu se koristiti za dohvaćanje identifikacijskih informacija iz tablice pretraživanja. Na primjer, Google usluge pohranjuju instancu IndexedDB za svaki račun, naziv baze podataka odgovara vašem Google korisničkom ID-u.
Koristeći iskorištavanje opisano u članku publikacije, zlonamjerna web-lokacija mogla bi utvrditi vaš Google korisnički ID i zatim ga koristiti za dobivanje drugih osobnih podataka o vama, budući da se ovaj ID koristi za upućivanje API zahtjeva Googleovim uslugama. U demo verziji probne verzije otvara se profilna slika korisnika.
Demo pohranjuje samo tablicu pretraživanja od oko 30 imena domena, ali nema razloga zašto se ova tehnika ne može primijeniti na veći skup. Praktično svaka stranica koja koristi IndexedDB JavaScript API može biti ranjiva na takvu krađu podataka.
Jedina greška je to što su nazivi svih IndexedDB baza podataka dostupni svakom mjestu, ali je pristup stvarnom sadržaju svake baze podataka ograničen. Popravak – i ispravno ponašanje koje se vidi u drugim preglednicima kao što je Chrome – je da web mjesto može vidjeti samo baze podataka stvorene pod istim imenom domene kao i vlastito.
Podržane su sve trenutne verzije Safarija na iPhoneu, iPadu i Macu. FingerprintJS kaže da su prijavili grešku Apple 28. studenog, ali još uvijek nije uklonjen. Do tada, jedino rješenje može biti korištenje preglednika treće strane na Macu ili blokiranje cijelog JavaScripta, a nijedno od toga nije obvezna opcija.
Pročitajte također: