Seguici su Telegram, ne vale la pena ❤️ ➡ @trovalost
Vai al contenuto

Scoperta vulnerabilità  informatica su browser iOS e Safari: riguarda una violazione della same-origin policy

A quanto pare la questione risale ad almeno gli ultimi quattro mesi da oggi (quindi orientativamente da ottobre 2021), i dispositivi iOS e iPadOS di Apple, in particolare il browser Safari, sarebbero affette da un bug in grado di fare trapelare parte delle identità  degli utenti nonchè l’attività  di navigazione in tempo reale. Nello specifico, la violazione riguarda la same-origin policy, un noto e consolidato meccanismo di sicurezza per il web, in grado di limitare il modo in cui un documento o uno script caricato da un certo sito possa interagire con una risorsa di un’altra origin.

A livello tecnico, due URL hanno la stessa origin se possiedono, da specifiche:

  1. lo stesso protocollo (HTTP o HTTPS);
  2. lo stesso host;
  3. la stessa porta (opzionalmente, se esplicitata);
  4. il path specifico (esempio/di/path) può anche essere diverso, sebbene a parità  degli altri fattori.

Per intenderci, se consideriamo un URL di esempio del tipo:

http://store.sito.com/dir/page.html

avrà  la stessa origin di

http://store.sito.com/dir2/other.html

ma NON di

https://store.sito.com/page.html

e nemmeno di

http://news.sito.com/dir/page.html

La same-origin policy è un meccanismo di sicurezza fondamentale per far funzionare il web, e generalmente i browser come Chrome e Firefox sono piuttosto attenti che venga rispettato; di fatto, sembrerebbe che Safari sia molto più permissivo in tal senso, come è stato dimostrato da un sito demo appositamente creato (safarileaks.com). Safari in sostanza permette ad uno script che gira su un’origin A di venire a conoscere i siti aperti in altre tab del browser, cosଠcome parte dei fingerprint che identificano l’utente in rete.

Schermata 2022 01 24 alle 11.30.20
Una screenshot esemplificativa del problema tratta dal sito demo, fonte e documentazione: https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/

 

L’idea di fondo è che il bug, che riguarda il componente IndexedDB ed il WebKit nello specifico, venga risolto nei prossimi giorni, anche perchè è stato aperto un bug report a riguardo, nonchè un repository ufficiale su Github che documenta nel dettaglio il problema rilevato. IndexedDB è un vero e proprio database transazionale come MySQL, che viene condiviso tra le varie sessioni aperte nelle tab di Safari e viene, in altri termini, usato come vettore di attacco. Avendo un DB condiviso tra le varie tab, uno script malevolo non sarebbe soltanto in grado di rilevare i siti che stiamo visitando, ma anche l’ID di Google associato univocamente ad un login su Youtube, ad esempio.

Ti potrebbe interessare:  Errore 550 su FTP: come risolverlo e da cosa dipende

Si attendono sviluppi in merito, oltre ad aggiornamenti specifici per il browser Safari.

https://www.youtube.com/watch?v=Z7dPeGpCl8s

Da non perdere 👇👇👇



Trovalost.it esiste da 4415 giorni (12 anni), e contiene ad oggi 3965 articoli (circa 3.172.000 parole in tutto) e 12 servizi online gratuiti. – Leggi un altro articolo a caso
Non ha ancora votato nessuno.

Ti sembra utile o interessante? Vota e fammelo sapere.

Vuoi pubblicare il tuo articolo su questo portale? Cercaci su Rankister (clicca qui) .


Cerchi un hosting economico per il tuo sito o blog? Tophost ti aspetta (clicca qui)

Questo sito contribuisce alla audience di sè stesso.
Il nostro network informativo: Lipercubo.it - Pagare.online - Trovalost.it.