Bagama't kilala ang Safari bilang isang ligtas na browser para sa mga user ng iOS, ang kamakailang pagtuklas ng developer na Mysk ay nagdulot ng mga alalahanin tungkol sa mga potensyal na isyu sa pagsubaybay ng user sa Safari. Sinusuri ng artikulong ito ang mga teknikal na detalye ng kahinaan, epekto nito sa privacy ng user, at mga potensyal na solusyon para mabawasan ang mga panganib.
Pag-detect ng kahinaan sa Safari: Subaybayan ang mga iOS device kahit sa incognito mode
Pinagmulan: Slashgear
URI Scheme Pag-aaral ng Vulnerability
Ang kahinaan ay nauugnay sa isang partikular na URI scheme na ginagamit ng Safari. Tinutukoy ng mga scheme ng URI kung paano ina-access ang mga mapagkukunan, at sa kasong ito, pinapayagan nila ang mga hindi awtorisadong app store na mai-install mula sa mga website. Ang pag-uugali ng Safari ay hindi sinasadyang nagbukas ng pinto para sa mga umaatake na gamitin ang kahinaang ito upang subaybayan ang mga user.
Kahit na ang website ay hindi isang lehitimong app store, sinusubukan pa rin ng Safari na iproseso ang URI scheme, na nagpapahintulot sa mga umaatake na subaybayan ang mga user sa pamamagitan ng kahinaang ito.
Pagtukoy ng mga kahinaan sa client ID at mga mekanismo sa pagsubaybay
Ipinapakita ng Mysk demo kung paano maaaring ma-trigger ng isang simpleng sampung linyang code sa isang website ang kahinaang ito. Kapag bumisita ang isang user sa naturang site, sinisimulan ng Safari ang pagtatangkang i-download ang fictitious app store, na inilalantad ang natatanging client ID ng user.
Bagama't nabigo ang pag-download dahil sa isang error sa pagpapahintulot, ang pagbubunyag ng client ID ay maaaring magbigay-daan sa user na masubaybayan sa mga website.
Ang sitwasyon ay nagiging mas nagbabanta kapag ang mga elemento tulad ng "adpURL" at "storeAccountName" ay naglaro. Kung magkatugma ang mga elementong ito, maaari nilang mapadali ang pagpapalitan ng impormasyon ng customer ID sa pagitan ng mga website, na pinagsasama-sama ang online presence ng isang user.
Hindi pinapansin ang Incognito Mode: Sirang Privacy Shield
Ang isa sa mga pinaka nakakagambalang aspeto ng kahinaan na ito ay ang kakayahang i-bypass ang incognito mode ng Safari, na idinisenyo upang maiwasan ang kasaysayan ng pagba-browse at pagsubaybay ng user. Sa kabila ng mode na incognito, ang kahinaang ito ay maaari pa ring magbunyag ng pagkakakilanlan ng customer, na nakakasira sa ipinangakong proteksyon sa privacy.
Kasalukuyang nakakaapekto lang ang kahinaang ito sa geo-restricted na mga iOS device sa European Union (EU), kung saan kinakailangan ng Apple na payagan ang paggamit ng mga alternatibong app store. Ang mga gumagamit sa ibang mga rehiyon ay hindi pa naaapektuhan.
Heograpikong saklaw at mga diskarte sa pagpapagaan
Mayroong heograpikong limitasyon sa kahinaang ito. Kasalukuyan lang itong nakakaapekto sa mga iOS device sa rehiyon ng European Union (EU). Ito ay dahil sa ang katunayan na ang Apple ay obligado na payagan ang paggamit ng mga alternatibong tindahan ng application sa EU, na nangangailangan ng pagpapatupad ng isang espesyal na URI scheme sa Safari para sa rehiyong ito. Ang mga gumagamit sa ibang mga rehiyon ay kasalukuyang hindi naaapektuhan.
Ang pinakamadaling diskarte sa pagpapagaan para sa mga user ng EU ay isaalang-alang ang paggamit ng browser maliban sa Safari. Maraming alternatibong browser para sa iOS, gaya ng Firefox o Chrome, ang kilala sa pagkakaroon ng mas epektibong mga mekanismong anti-tracking. Maaaring i-block ng mga browser na ito ang mga pagtatangkang i-access ang vulnerable URI scheme at pigilan ang pagbubunyag ng client ID.
Habang ang pagpapalit ng iyong browser ay nagbibigay ng agarang proteksyon, pare-parehong mahalaga na itaas ang kamalayan sa kahinaang ito at hikayatin ang Apple na ayusin ito sa pamamagitan ng pag-update ng software. Ang isang patch na magbabago sa gawi ng Safari upang pangasiwaan lamang ang URI scheme para sa mga lehitimong pag-install mula sa mga app store ay epektibong magsasara sa kahinaang ito.
Mga hakbang sa kabila ng pagpapagaan: Pagprotekta sa privacy ng user
Ang pagtuklas sa kahinaang ito ay nagha-highlight sa patuloy na labanan para sa privacy ng user sa digital realm. Kahit na may mga pananggalang tulad ng incognito mode, maaaring manatili ang mga kahinaan.
Dapat malaman ng mga user ang mga potensyal na kahinaan na ito at mag-ingat kapag nagba-browse ng mga web page. Narito ang ilang karagdagang pagsasaalang-alang sa privacy:
- Pumili ng mga site nang matalino: Mag-ingat sa pagbisita sa mga website, lalo na sa mga may kaduda-dudang nilalaman. Huwag mag-click sa mga kahina-hinalang link o mag-download ng nilalaman mula sa hindi kilalang mga mapagkukunan.
- Paggamit ng mga extension ng privacy: Available ang iba't ibang extension ng privacy para sa mga iOS browser na nagpapahusay sa proteksyon sa pagsubaybay. Maaaring palakasin ng mga extension na ito ang privacy ng user sa pamamagitan ng pagharang sa mga tracking script at cookies.
- Manatiling napapanahon sa mga kaganapan: Regular na i-update ang iyong iOS device at mga browser upang ma-access ang pinakabagong mga patch sa seguridad at mga pag-aayos sa kahinaan na inilabas ng mga developer ng Apple at browser.
Advanced na URI Scheme na Pagsusuri sa Vulnerability
Pag-unawa sa mekanika ng URI scheme: Ang isang URI (Uniform Resource Identifier) ay nagsisilbing isang address na nagsasabi sa iyong device kung paano i-access ang isang partikular na mapagkukunan, at binubuo ng mga bahagi tulad ng isang scheme (hal. http, https), isang domain name, at isang path patungo dito. Ang vulnerable scheme ay nagbibigay-daan sa direktang pag-install ng mga app store mula sa mga website.
Safari Overzealous Gawi: Nangyayari ang kahinaan dahil sa pagtatangka ng Safari na iproseso ang scheme ng pag-install ng app store kahit na sa mga hindi lehitimong website ng app store. Ang gawi na ito ay maaaring gamitin ng mga umaatake upang simulan ang isang pagtatangka sa pag-download at ipakita ang pagkakakilanlan ng kliyente.
Client-ID decoding: Ang Client-ID ay isang natatanging identifier na nakatalaga sa bawat Apple device. Bagama't nagsisilbi itong lehitimong layunin sa ecosystem ng Apple, ang pagsisiwalat nito sa kontekstong ito ay nagbubukas ng mga pagkakataon para sa cross-site na pagsubaybay.
Tungkulin ng “adpURL” at “storeAccountName”: Ang mga karagdagang feature ng website na ito, kung magkatugma, ay maaaring mapadali ang pagpapalitan ng mga customer ID sa pagitan ng mga site. Ang "adpURL" ay maaaring magpasa ng impormasyong nauugnay sa advertising, habang ang "storeAccountName" ay maaaring tumukoy sa isang partikular na app store account. Kasama ng isang customer ID, ang data na ito ay maaaring lumikha ng isang malawak na profile ng online presence ng isang user.
Paliwanag tungkol sa pag-bypass sa incognito mode: Karaniwang pinipigilan ng incognito mode ang kasaysayan ng pagba-browse at cookies na ma-save upang matiyak ang privacy. Gayunpaman, sa kasong ito, ang pagsisiwalat ng ID ng kliyente ay nangyayari sa antas ng network bago malikha ang normal na kasaysayan ng pagba-browse, kaya nilalampasan ang nilalayong incognito mode upang maprotektahan ang privacy.
Mga resulta
Ang pagtuklas ng kahinaan na ito sa Safari ay nagpapakita ng pangangailangan para sa patuloy na pagbabantay upang maprotektahan ang privacy ng user. Bagama't may mga paraan upang pagaanin ang mga epekto, ang pangmatagalang solusyon ay nakasalalay sa kung ang kumpanya ay nag-aalis mansanas kahinaan sa pamamagitan ng pag-update ng software.
Sa pamamagitan ng pag-unawa sa mga teknikal na nuances ng kahinaan at pagkuha ng isang komprehensibong diskarte sa proteksyon sa online na privacy, mababawasan ng mga user ang mga panganib na nauugnay sa online na pagsubaybay at pataasin ang seguridad ng kanilang mga device.
Ang insidenteng ito ay nagsisilbing paalala sa mga developer at kumpanya ng teknolohiya na maingat na unahin ang mga matatag na hakbang sa seguridad. Ang pagtutulungang pagsisikap ng mga user, developer, at kumpanya ng teknolohiya ay maaaring mag-ambag sa isang mas secure at privacy-friendly na digital na landscape.
