У Safari знайшли вразливість, яка видає особисті дані
Дослідники компанії FingerprintJS виявили вразливість у браузері Safari 15. Вона може показати, коли і що робив користувач у мережі, і навіть розкрити особисту інформацію з облікового запису Google. Вразливість є на всіх Mac, iPhone та iPad. Вона пов'язана з інтерфейсом прикладного програмування (IPO) Apple IndexedDB, який зберігає дані користувача у браузері та дозволяє зберігати цю інформацію сайтам. Головний принцип IndexedDB – однакове джерело (same-origin policy). Це означає, що інформацію користувача може використовувати лише сайт, який її отримав. Якщо користувач відкриває вкладку з особистими даними, а потім відкриває сайт із вірусом, IndexedDB не дає йому ці дані отримати. Але у Safari 15 цей принцип не працює.
Коли на сайт заходять у Safari 15, створюється нова (порожня) база даних з тим самим ім'ям у всіх інших активних фреймах, вкладках та вікнах під час одного сеансу браузера. Тому інші сайти можуть отримувати інформацію про те, що робив користувач у мережі. Сайти, які використовують обліковий запис Google – YouTube, Календар, Google Keep, створюють бази даних з УІД (унікальний ідентифікатор) користувача Google User ID. Завдяки йому Google отримує доступ до загальнодоступної інформації користувача, наприклад аватару його профілю. Але через уразливість Safari може передавати цю інформацію іншим сайтам. FingerprintJS створили сайт, який показує, як працює вразливість. Також дослідники розповіли, що понад 30 популярних сайтів одержують інформацію УІД. Серед них – Instagram, Netflix, Twitter, Xbox, Bloomberg, YouTube та інші. Але дослідники кажуть, що таких сайтів може бути ще більше.
