Masz konto Google? W macOS i iOS twoje dane nie są bezpieczne

Serwis 9to5Mac, powołując się na odkrycie grupy FingerprintJS, informuje o zaskakującej luce w oprogramowaniu Apple'a, w wyniku której można odczytać dane dotyczące wykorzystywanych w urządzeniu kont Google. Problemem jest implementacja obsługi API IndexedDB w Safari 15 w macOS oraz całym systemie iOS (niezależnie od wykorzystywanej przeglądarki), w efekcie czego zagrożonych jest wielu użytkowników.

Jak ustalili badacze, przez błąd w API da się śledzić aktywność użytkownika, a nawet dotrzeć do jego identyfikatora i zdjęcia, także w czasie rzeczywistym. Błąd polega na niewłaściwych odwołaniach do bazy danych w ramach jednej sesji przeglądarki, przez co spreparowana strona jest w stanie odczytać historię odwiedzanych witryn powiązanych z kontami Google, a także ich identyfikatory i zdjęcia użytkowników, co może prowadzić do dalszych nadużyć. Szczegóły przedstawiono na krótkim filmie.

Badacze ustalili na próbce 1000 najczęściej odwiedzanych stron według rankingu Alexa, że 30 witryn wykorzystuje opisywane problematyczne API, co prowadzi do wycieków danych pomiędzy stronami nawet bez interakcji użytkownika. Co ciekawe, problemu nie ogranicza użycie trybu prywatnego w przeglądarce.

W całej sprawie najciekawsze wydaje się, że problem został zasygnalizowany firmie Apple jeszcze w listopadzie ubiegłego roku. Od tamtego czasu twórcy oprogramowania nie zareagowali jednak na zgłoszenie, toteż badacze zdecydowali się upublicznić informacje o luce. W chwili pisania niniejszego tekstu, problem wciąż jest aktualny.

O skuteczności wykorzystania luki można się przekonać, odwiedzając przygotowaną przez badaczy stronę, która wykorzystuje dostęp do baz pomiędzy otwartymi witrynami i wyświetla uzyskane w ten sposób dane. Korzystając z komputera z macOS-em lub iOS-a, można w ten sposób odtworzyć efekt ukazany na powyższym filmie.