[ad_1]
Les pirates peuvent exploiter ce bogue pour obtenir votre ID utilisateur Google
Le bogue permet à tout site Web qui utilise l’API IndexedDB pour le stockage de données d’obtenir les noms d’autres sites Web ouverts par l’utilisateur au cours d’une session de navigation, même s’ils sont ouverts dans un onglet ou une fenêtre différente. Les sites concernés doivent également utiliser IndexedDB, qui est connu pour contenir « une quantité importante de données ».
La démo montre comment le bogue Safari peut révéler les noms de certains sites Web que vous avez récemment visités
Certaines de ces bases de données exposeront des identifiants spécifiques à l’utilisateur qui peuvent être utilisés par des attaquants pour capturer le nom de l’utilisateur. Les applications qui placent ces identifiants spécifiques à l’utilisateur dans leurs bases de données incluent YouTube, Google Calendar et Google Keep.
Les identifiants utilisés avec des applications telles que YouTube, Google Agenda et Google Keep incluent l’identifiant d’utilisateur Google d’une personne. Vous pouvez le prouver par vous-même en ouvrant Safarileaks.com sur le navigateur Web mobile de votre iPhone ou iPad. Suivez les instructions et selon les sites que vous avez récemment visités, votre ID utilisateur Google apparaîtra avec le nom de certains sites Web que vous avez récemment ouverts.
Les appareils exécutant iOS 14 ou iPadOS 14 ne sont pas affectés par le bogue
Avec votre ID utilisateur Google, un pirate informatique peut identifier un compte Google spécifique. Peut-être un peu plus inquiétant, en combinaison avec les API Google, le bogue pourrait révéler au moins votre photo de profil à un pirate informatique et beaucoup plus d’informations personnelles dans le pire des cas.
L’un des problèmes avec ce bogue est qu’il ne vous oblige pas à faire quoi que ce soit de spécial pour vous mettre en danger. Vous n’avez pas besoin d’être trompé pour appuyer sur un lien ou ouvrir un certain site Web. Et FingerprintJS a découvert que 30 des 1 000 sites les plus visités (calculés par Alexa) ont IndexedDB directement sur leur page d’accueil, ce qui permet à un utilisateur d’iPhone ou d’iPad d’entrer facilement dans ce bogue sans le savoir.
Et jusqu’à ce qu’Apple fournisse la mise à jour, il n’y a vraiment pas grand-chose qu’un utilisateur puisse faire pour éviter cela. Les utilisateurs de Mac peuvent changer de navigateur, mais les utilisateurs d’iOS et d’iPadOS doivent s’en tenir à un navigateur qui s’exécute sur le moteur WebKit, ce qui n’aidera pas beaucoup. Une suggestion est de bloquer tout JavaScript par défaut et de ne l’autoriser que sur des sites fiables à 100 %.
[ad_2]
Source link
