Διαρροές στο Safari με ιστορικό περιήγησης

Με αυτό το σφάλμα, οποιοσδήποτε ιστότοπος που χρησιμοποιεί IndexedDB μπορεί να γνωρίζει τα ονόματα άλλων βάσεων δεδομένων IndexedDB που έχουν δημιουργηθεί από άλλους ιστότοπους στο Safari. Αυτός είναι ένας τρόπος για να μάθετε το πρόσφατο ιστορικό περιήγησης. Οι ιστότοποι θα πρέπει κανονικά να έχουν πρόσβαση μόνο στη δική τους βάση δεδομένων.

Το πρόβλημα στην πραγματικότητα προχωρά περαιτέρω, καθώς ορισμένες βάσεις δεδομένων έχουν συγκεκριμένα αναγνωριστικά και όχι αναγνωριστικά που δημιουργούνται τυχαία. Αυτή είναι ιδιαίτερα η περίπτωση της Google, η οποία επιλέγει το μοναδικό αναγνωριστικό κάθε χρήστη ως όνομα. Ένα κακόβουλο άτομο μπορεί στη συνέχεια να εκμεταλλευτεί το σφάλμα του Safari, να ανακτήσει το αναγνωριστικό που είναι συνδεδεμένο με την Google και στη συνέχεια να χρησιμοποιήσει το API της μηχανής αναζήτησης για να λάβει πληροφορίες σχετικά με τον κάτοχο του λογαριασμού.

Το FingerprintJS προσφέρει μια απόδειξη της ιδέας, δηλαδή μια επίδειξη σκοπιμότητας για να δείξει ότι το σφάλμα υπάρχει. Απλώς μεταβείτε στο safarileaks.com με το Safari για να δείτε μια λίστα με τους τελευταίους ιστότοπους που επισκεφτήκατε. Και αν είστε συνδεδεμένοι σε λογαριασμό Google, θα εμφανιστεί και η εικόνα του προφίλ σας.

Ο Chrome, ο Firefox και άλλοι επηρεάζονται επίσης στο iOS

Αυτό το σφάλμα αφορά το WebKit, τη μηχανή απόδοσης του Safari. Επηρεάζει τους χρήστες σε iPhone και iPad που έχουν iOS 15 και αυτούς σε Mac που χρησιμοποιούν Safari 15 . Το πρόβλημα μπορεί να παρακαμφθεί προσωρινά σε Mac χρησιμοποιώντας οποιοδήποτε άλλο πρόγραμμα περιήγησης. Η κατάσταση είναι πιο λεπτή σε iPhone και iPad. Πράγματι, ο Chrome, ο Firefox και άλλα προγράμματα περιήγησης υπάρχουν, αλλά όλα χρησιμοποιούν το WebKit και όχι τις δικές τους μηχανές απόδοσης, επειδή η Apple απαιτεί να περάσουν από το σύστημά της. Ως αποτέλεσμα, επηρεάζονται και τα εναλλακτικά προγράμματα περιήγησης σε iOS.

Τώρα πρέπει να περιμένουμε μια επιδιόρθωση από την Apple με μια ενημέρωση του iOS. Σημειώστε ότι το σφάλμα αναφέρθηκε στις 28 Νοεμβρίου στην Apple και ακόμα δεν έχει διορθωθεί. Λόγω της καθυστέρησης, η FingerprintJS δημοσιοποίησε τις πληροφορίες σήμερα.