Safari Browser Hack Tiết lộ các mối lo ngại về bảo mật Tự động điền

Một nhà nghiên cứu bảo mật đã tiết lộ một điểm yếu trong trình duyệt web Safari của Apple có thể bị kẻ tấn công khai thác để trích xuất thông tin cá nhân nhạy cảm. Lỗ hổng Safari nghiêm trọng hơn một chút, nhưng vấn đề minh họa các mối quan tâm về quyền riêng tư và an ninh cơ bản với AutoFill nói chung.

Jeremiah Grossman, người sáng lập và CTO của WhiteHat Security, báo cáo rằng có thể cho kẻ tấn công sử dụng biểu mẫu Web độc hại khiến Safari tự động điền thông tin nhạy cảm như tên, địa chỉ hoặc địa chỉ e-mail từ thông tin được lưu trữ trong Sổ địa chỉ Apple. Vấn đề là chức năng của tùy chọn điền vào biểu mẫu "Sử dụng thông tin từ thẻ Sổ địa chỉ của tôi", được kiểm tra theo mặc định trong Safari.

Grossman cho rằng vấn đề ảnh hưởng đến tất cả các trình duyệt được xây dựng trên công cụ WebKit nguồn mở-- bao gồm cả Safari trên cả Mac OS X và iOS, cũng như trình duyệt Google Chrome. Tuy nhiên, chứng minh khái niệm không hoạt động trên phiên bản Chrome mới nhất và yêu cầu can thiệp của người dùng để hoạt động trên iOS.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows]

Nhược điểm là rằng lỗ hổng bảo mật này dường như bị hạn chế - nhiều hay ít - đối với trình duyệt Safari Web đang chạy trên Mac OS X. Tuy nhiên, vì Mac OS X chỉ chiếm khoảng 5% thị trường hệ điều hành và không phải tất cả người dùng Mac OS X đều dựa vào trên Safari để duyệt web, vấn đề có tác động tương đối nhỏ

Grossman chỉ ra trong bài đăng trên blog của mình trên bản hack Safari AutoFill, sự khác biệt giữa khả năng Tự động điền của các trình duyệt hoặc hệ điều hành khác. rằng Safari sẽ đầu hàng dữ liệu nhạy cảm cho kẻ tấn công bằng cách sử dụng trang web độc hại "ngay cả khi họ chưa bao giờ đến đó trước hoặc nhập bất kỳ thông tin cá nhân nào."

Thực tế là Safari hack có thể tiết lộ thông tin mà trước đó không được nhập vào lĩnh vực được đưa ra làm cho nó nghiêm trọng hơn ue, nhưng thực tế là tất cả các tính năng Tự động điền trên tất cả các trình duyệt và hệ điều hành đại diện cho mối quan tâm về bảo mật và quyền riêng tư ở một mức độ nào đó. Tự động điền là tính năng yêu cầu trao đổi một số bảo mật và quyền riêng tư để thuận tiện cho việc thuận tiện.

Tự động điền được thiết kế để giúp cuộc sống trở nên đơn giản hơn bằng cách lưu trữ thông tin để có thể tự động nhập vào lần tiếp theo. Nó thường gặp nhất với dữ liệu biểu mẫu nơi người dùng điền vào các trường như tên, địa chỉ, số điện thoại, địa chỉ e-mail, v.v. Khi dữ liệu được lưu trữ trong Tự động điền, lần tiếp theo một trường biểu mẫu tương tự gặp phải chỉ cần nhấp vào trường sẽ tiết lộ danh sách các mục được lưu trữ trong Tự động điền hoặc bắt đầu nhập sẽ điền vào mục nhập với thông tin từ Tự động điền phù hợp với thông tin được nhập.

Tương tự như những gì Grossman sử dụng để trích xuất thông tin bằng cách sử dụng tính năng Tự động điền Safari, kẻ tấn công cũng có thể trích xuất thông tin mà người dùng đã lưu trữ trong tính năng Tự động điền bằng cách tạo biểu mẫu Web độc hại với các trường phổ biến và kiểm tra vô hình từng chữ cái trong bảng chữ cái để xem các mục nhập Tự động điền nào.

Tự động điền cũng có thể tiết lộ thông tin nhạy cảm trong những cách khác nữa. Tính năng Tự động điền của thanh địa chỉ trình duyệt Web có thể tiết lộ các URL đã được truy cập và tính năng Tự động điền trong các chương trình như Microsoft Excel có thể phơi bày dữ liệu hoặc thông tin đã được nhập trước đó trong các trường khác.

Tôi không đề nghị mọi người từ bỏ Tự động điền và quay trở lại tẻ nhạt gõ vào cùng một thông tin mỗi khi có nhu cầu. Tuy nhiên, tôi ủng hộ rằng quản trị viên CNTT và người dùng nói chung hiểu rằng các tính năng tương tự cung cấp sự tiện lợi cho người dùng cũng giúp thuận tiện hơn cho kẻ tấn công vi phạm hoặc xâm phạm dữ liệu được lưu trữ ở đó.

Trang Facebook, hoặc liên hệ với anh ấy bằng email tại [email protected]. Anh cũng tweet như @Tony_BradleyPCW.