Истина о приватности у Сафарију: праћење чак и у анонимном режиму

Иако је Сафари познат као безбедан претраживач за иОС кориснике, недавно откриће програмера Миск изазвало је забринутост у вези са потенцијалним проблемима праћења корисника у Сафарију. Овај чланак испитује техничке детаље рањивости, њен утицај на приватност корисника и потенцијална решења за ублажавање ризика.

Откривање рањивости у Сафарију: Пратите иОС уређаје чак и у анонимном режиму

иПад Фирефок

Извор: Сласхгеар

Студија рањивости УРИ шеме

Рањивост је повезана са специфичном УРИ шемом коју користи Сафари. УРИ шеме дефинишу како се приступа ресурсима и у овом случају дозвољавају инсталирање неовлашћених продавница апликација са веб локација. Сафаријево понашање нехотице отвара врата нападачима да искористе ову рањивост за праћење корисника.

Чак и ако веб локација није легитимна продавница апликација, Сафари и даље покушава да обради УРИ шему, омогућавајући нападачима да прате кориснике кроз ову рањивост.

Идентификовање рањивости у ИД-у клијента и механизмима за праћење

Миск демо показује како једноставан десеторедни код на веб локацији може изазвати ову рањивост. Када корисник посети такав сајт, Сафари покреће покушај преузимања фиктивне продавнице апликација, откривајући корисников јединствени ИД клијента.

Иако преузимање не успе због грешке при ауторизацији, откривање ИД-а клијента може омогућити праћење корисника на свим веб локацијама.

Ситуација постаје још опаснија када у игру дођу елементи попут „адпУРЛ“ и „стореАццоунтНаме“. Ако су ови елементи компатибилни, они потенцијално могу олакшати размену информација о ИД-у корисника између веб локација, консолидујући присуство корисника на мрежи.

Игнорисање анонимног режима: Сломљени штит приватности

Један од најузнемирујућих аспеката ове рањивости је могућност да се заобиђе Сафари-јев анонимни режим, који је дизајниран да спречи историју прегледања и праћење корисника. Упркос анонимном режиму, ова рањивост и даље може да открије идентитет клијента, поткопавајући обећану заштиту приватности.

Ова гео-ограничена рањивост тренутно утиче само на иОС уређаје у Европској унији (ЕУ), где је Аппле обавезан да дозволи коришћење алтернативних продавница апликација. Корисници у другим регионима још нису погођени.

Географска покривеност и стратегије ублажавања

Постоји географско ограничење за ову рањивост. Тренутно утиче само на иОС уређаје у региону Европске уније (ЕУ). Ово је због чињенице да је Аппле обавезан да дозволи коришћење алтернативних продавница апликација у ЕУ, што захтева имплементацију посебне УРИ шеме у Сафарију за овај регион. Корисници у другим регионима тренутно нису погођени.

Најлакша стратегија ублажавања за кориснике ЕУ је да размотре коришћење претраживача који није Сафари. Многи алтернативни претраживачи за иОС, као што су Фирефок или Цхроме, познати су по ефикаснијим механизмима против праћења. Ови претраживачи могу блокирати покушаје приступа рањивој УРИ шеми и спречити откривање ИД-а клијента.

Иако промена вашег претраживача пружа тренутну заштиту, подједнако је важно подићи свест о овој рањивости и подстаћи Аппле да је поправи ажурирањем софтвера. Закрпа која би променила Сафаријево понашање да обрађује само УРИ шему за легитимне инсталације из продавница апликација би ефективно затворила ову рањивост.

Кораци даље од ублажавања: Заштита приватности корисника

Откривање ове рањивости наглашава текућу битку за приватност корисника у дигиталном царству. Чак и уз заштитне мере као што је анонимни режим, рањивости могу остати.

Корисници би требало да буду свесни ових потенцијалних рањивости и да буду опрезни када претражују веб странице. Ево неколико додатних разматрања приватности:

Изаберите сајтове мудро: Будите опрезни када посећујете веб-сајтове, посебно оне са сумњивим садржајем. Не кликајте на сумњиве везе и не преузимајте садржај из непознатих извора.
Коришћење додатака за приватност: За иОС претраживаче су доступна различита проширења приватности која побољшавају заштиту од праћења. Ова проширења могу да ојачају приватност корисника блокирањем скрипти за праћење и колачића.
Будите у току са догађајима: Редовно ажурирајте свој иОС уређај и прегледаче да бисте приступили најновијим безбедносним закрпама и исправкама рањивости које су објавили Аппле и програмери претраживача.

сафари

Напредна анализа рањивости УРИ шеме

Разумевање механике УРИ шеме: УРИ (Униформ Ресоурце Идентифиер) служи као адреса која говори вашем уређају како да приступи одређеном ресурсу и састоји се од компоненти као што су шема (нпр. хттп, хттпс), име домена и путања до њега. Рањива шема омогућава директну инсталацију продавница апликација са веб локација.
Сафари претерано ревносно понашање: Рањивост се јавља због тога што Сафари покушава да обради шему инсталације продавнице апликација чак и на нелегитимним веб локацијама продавнице апликација. Ово понашање нападачи могу да искористе да покрену покушај преузимања и открију идентитет клијента.
Дешифровање ИД-а клијента: Цлиент-ИД је јединствени идентификатор додељен сваком Аппле уређају. Иако служи легитимној сврси у Апплеовом екосистему, његово откривање у овом контексту отвара могућности за праћење на више локација.
Улога „адпУРЛ“ и „стореАццоунтНаме“: Ове додатне функције веб локације, ако су компатибилне, могу олакшати размену корисничких ИД-ова између сајтова. „адпУРЛ“ може да пренесе информације везане за оглашавање, док „стореАццоунтНаме“ може да се односи на одређени налог продавнице апликација. У комбинацији са ИД-ом клијента, ови подаци могу створити широк профил присуства корисника на мрежи.
Објашњење о заобилажењу анонимног режима: Режим без архивирања обично спречава чување историје прегледања и колачића како би се осигурала приватност. Међутим, у овом случају, откривање ИД-а клијента се дешава на нивоу мреже пре него што се креира нормална историја прегледања, чиме се заобилази предвиђени режим анонимности ради заштите приватности.

Резултати

Откривање ове рањивости у Сафарију наглашава потребу за сталном будношћу како би се заштитила приватност корисника. Иако постоје начини за ублажавање ефеката, дугорочно решење зависи од тога да ли компанија елиминише јабука рањивост кроз ажурирање софтвера.

Разумевањем техничких нијанси рањивости и свеобухватним приступом заштити приватности на мрежи, корисници могу да смање ризике повезане са праћењем на мрежи и повећају безбедност својих уређаја.

Овај инцидент служи као подсетник програмерима и технолошким компанијама да пажљиво дају приоритет робусним безбедносним мерама. Заједнички напори корисника, програмера и технолошких компанија могу допринети безбеднијем дигиталном пејзажу који је прихватљивији за приватност.

Каква је твоја реакција?

Хладан