Güvenlik firması parmak iziJS (üzerinden 9to5Mac) Safari mobil tarayıcısının iOS 15 sürümünde bulunan bir hata hakkında Cuma günü bir rapor yayınladı. Rapor, bu hatanın “herhangi bir web sitesinin internet etkinliğinizi izlemesine ve hatta kimliğinizi ortaya çıkarmasına izin verdiğini” belirtiyor. Çoğu tarayıcı tarafından kullanılan ve desteklenen bir Uygulama Programlama Arayüzü’nde (API) bulunan bir hata, saldırganlar tarafından sizinle ilgili birçok şeyi öğrenmek için kullanılabilir.
Bir API, programcılar tarafından yazılımın parçalarını diğer yazılımlara bağlamak ve program geliştirmeyi kolaylaştırmak için kullanılır. IndexedDB adlı böyle bir API, çoğu büyük tarayıcı tarafından desteklenir ve raporun “önemli miktarda veri” dediği şeyi tutar.

iOS 15 ve iPadOS 15’teki Safari, kişisel verilerinizi ortaya çıkarmak için kullanılabilecek bir hata içeriyor

iOS 15, iPadOS 15 ve macOS’taki hata, rastgele web sitelerinin bir kullanıcının diğer pencerelerde ve sekmelerde ziyaret ettiği diğer siteleri bilmesini sağlar. Bu mümkündür çünkü YouTube, Google Takvim ve Google Keep gibi siteler, veritabanı adlarında “kullanıcıya özel benzersiz tanımlayıcılar” kullanır. Sonuç olarak, adı geçen siteler, kullanıcıya ait Google Kullanıcı Kimliğini içeren veritabanları oluşturduğundan kimliği doğrulanmış kullanıcılar tanımlanabilir ve kullanılan tüm hesaplar için veritabanları açılır.

Google Kullanıcı Kimliği, bir saldırganı çok sayıda kişisel veriye yönlendirir. Her biri belirli bir Google hesabını tanımlamak için kullanılabilir ve Google API’leriyle birlikte en azından profil resminizi bir bilgisayar korsanına gösterebilir. Ayrıca, saldırganın çok daha fazla kişisel bilgi almasına ve aynı kullanıcıya ait “birden çok ayrı hesabı” çözmesine yardımcı olabilir.

Ne yazık ki, kişisel bilgilerinizi öğrenmek, herhangi bir özel eylem gerçekleştirmenizi gerektirmez, çünkü raporda “Arka planda çalışan ve sürekli olarak IndexedDB API’sini mevcut veritabanları için sorgulayan bir sekme veya pencere, bir kullanıcının gerçekte başka hangi web sitelerini ziyaret ettiğini öğrenebilir. Alternatif olarak, web siteleri, belirli bir site için IndexedDB tabanlı bir sızıntıyı tetiklemek için herhangi bir web sitesini bir iframe veya açılır pencerede açabilir.”

FingerprintJS, Alexa’nın en çok ziyaret edilen 1.000 sitesini kontrol etti ve 30’unun, kullanıcı tarafından herhangi bir etkileşim veya kimlik doğrulama gerektirmeden, dizinlenmiş veritabanlarıyla doğrudan ana sayfalarında etkileşime girdiğini buldu. Bir kişi Safari’de özel modu kullanıyor olsa bile, aynı sekmeyi kullanarak birden fazla web sitesini ziyaret ederse, etkileşimde bulunulan tüm veritabanları, kullanıcının daha sonra ziyaret ettiği sitelere sızdırılır.

Bu hatayı önlemenin bir yolu var mı?

iOS 15 veya iPadOS 15 çalıştırıyorsa Safari kullanıcısının yapabileceği pek bir şey yoktur. Önerilerden biri, tüm JavaScript’leri varsayılan olarak engellemek ve yalnızca %100 güvenilir sitelerde izin vermektir. Mac kullanıcıları bu hatadan kurtulmak için tarayıcı değiştirebilirler, ancak bu iOS 15 veya iPadOS 15’te bir çözüm değildir. Hatanın FingerprintJS tarafından 28 Kasım 2021’de WebKit Bug Tracker’a 233548 numaralı hata olarak gönderildiğini belirtmeliyiz.

Bunu iPhone veya iPad’inizde kontrol etmek istiyorsanız, Safari’yi açın ve safarileaks.com ve basit yönergeleri izleyin. Hızla (çok hızlı), en son ziyaret ettiğiniz sitenin adı görünür (eğer bu, Demo sayfasında listelenen sitelerden biriyse) ve benzersiz Google Kullanıcı Kimliğinize erişilebilir.
Açıkçası, sahip olduğun tek çözüm beklemek Apple, iOS ve iPadOS yazılımını güncellemeli ve yayınlanır yayınlanmaz yüklediğinizden emin olun. Yine, bir Mac kullanıyorsanız, iOS ve iPadOS’ta durum böyle olmasa da tarayıcıları değiştirmek geçerli bir seçenektir. Ayrıca, kullanıcıların hatayı başlatmak için belirli bir işlem yapmasına gerek olmadığını unutmayın.



telefon-1

Bir yanıt yazın