Sites kunnen elkaar zien

Apple-browser Safari lekt browsegeschiedenis aan websites

17 januari 2022 17:02
Beeld © Getty

Door een fout in Apple-browser Safari 15 kan de recente browsegeschiedenis en sommige persoonlijke informatie, zoals het Google-account van de gebruiker, lekken naar andere websites.

De kwetsbaarheid werd ontdekt door online fraudebestrijder FingerprintJS. Het gaat om een fout in IndexedDB, een onderdeel van Safari waarmee websites bepaalde data op het apparaat van de gebruiker kunnen opslaan, en later weer kunnen opvragen. Daardoor laden sites bij latere bezoeken bijvoorbeeld sneller.

Er zit een veiligheidsmaatregel in IndexedDB, waardoor sites niet van elkaar kunnen zien welke data zij in de browser hebben opgeslagen. In Safari 15 werkt die veiligheidsmaatregel niet goed, ontdekte FingerprintJS. Daardoor kunnen andere sites gedeeltelijk zien welke data er door die IndexedDB zijn opgeslagen. Ze zien daarbij niet het totale bestand, maar kunnen wel de naam lezen.

Miniatuurvoorbeeld
Lees ook:

Apple staat externe betaalmethoden toe in datingapps in Nederland

Identiteit via Google-profiel te achterhalen

Aan die naam is te zien welke andere sites de gebruiker open heeft staan, of recent geopend heeft. Met die data zou een profiel met de browsegeschiedenis van de gebruiker aangemaakt kunnen worden, zonder dat de gebruiker daar iets van merkt. Op een speciale testpagina kunnen gebruikers de fout in actie zien: de site toont de inhoud van IndexedDB, die dus eigenlijk niet inzichtelijk hoort te zijn.

De identiteit van gebruikers kan bovendien achterhaald worden als zij inloggen bij diensten van Google. De unieke Google User ID staat in de titel van de bestanden die in IndexedDB worden opgeslagen. Mogelijk werkt dat bij andere loginmethoden ook zo, al heeft FingerprintJS dat nog niet achterhaald. Met die unieke Google User ID is dus de naam van de gebruiker ongemerkt te koppelen aan het browsegedrag, met allerlei malafide mogelijkheden tot gevolg.

Miniatuurvoorbeeld
Lees ook:

'Apple-bril gaat Apple Vision heten, wordt duurder dan 2000 dollar'

Apple heeft fout nog niet hersteld

Apple is op 28 november vorig jaar door FingerprintJS op de hoogte gesteld van de fout. Tot nu toe heeft het bedrijf de fout nog niet hersteld. De fout zit in Safari 15, die op recente versies van macOS staat, in iPadOS 15 en in iOS 15.

Op de Mac kunnen gebruikers een andere browser gebruiken om de fout te omzeilen. Op iOS en iPadOS kan dat niet: alle browsers maken daar deels gebruik van dezelfde technische onderlaag, en daar zit deze fout in.

Miniatuurvoorbeeld
Lees ook

Apple-oordoppen voor sporters deze maand in Nederland te koop

Bright blok

Volg Bright voor meer tech:​​

Kijk onze video's

Volg ons op Instagram, Twitter en Facebook

En luister de podcast

Altijd weten wat er speelt?
Download de gratis RTL Nieuws-app en blijf op de hoogte.

Playstore Appstore

Dit is een artikel van