Apple исправила в Safari опасную уязвимость

29 Март 2018

В браузерном движке WebKit, на основе которого создан браузер Safari, обнаружена серьезная уязвимость, которая могла использоваться для осуществления слежки за пользователями. Для устранения этого бага компания Apple уже разработала необходимые заплатки.

Как удалось выяснить специалистам, обнаруженная уязвимость позволяет хакерам получить расширенные возможности управления механизмом HSTS. Именно за счет этого удается следить за каждым действием пользователей. Этот механизм обычно используется для принудительной установки соединения по протоколу HTTPS. Так как HSTS сохраняет информацию о перенаправлениях для возможного использования в будущем, то сайты могли получать к ней доступ и использовать ее для слежки.

Исследователи пояснили, что используемые на каждом сайте с перенаправлением на HTTPS идентификаторы являются уникальными для каждого конкретного пользователя. Более того, информация о них содержится в настройках браузера, поэтому добраться до нее и ознакомиться с ней опытному хакеру не составит особого труда. Такие идентификаторы могут даже сохраняться, поэтому пользователь лишится возможности их удалить.

С помощью специальных не сложных процессов злоумышленник сможет выделить каждого посетителя конкретного сайта и идентифицировать его.

Для решения этой проблемы специалист компании Apple предлагают ограничить состояние HSTS и изменить метод записи состояния HSTS. Для этого уже разработано несколько вариантов решения, которые уже успешно применяются в деле.