Функция автозаполнения в обозревателе Safari все еще уязвима

Функция автозаполнения в обозревателе Safari все еще уязвима

В июле сего года была обнаружена ошибка безопасности в Интернет-обозревателе Apple Safari; проблема касалась функции автозаполнения полей в онлайн-формах. Apple выпустила обновление до версии 5.0.1, которое должно было исправить ошибку, однако основатель WhiteHat Security Джеремиа Гроссман утверждает, что уязвимость все еще существует и по-прежнему опасна.



Исследователь написал в своем блоге, что вновь выявленный им недочет - незначительно измененный вариант исходной ошибки в системе автозаполнения, позволявшей вредоносным ресурсам без ведома и согласия пользователя извлекать хранящуюся в ней персональную информацию. При этом данные для автозаполнения могли быть сохранены для нужд совершенно другого сайта - на успешность атаки это никак не влияло.


Новая версия эксплойт-кода работает не абсолютно автоматически, как предыдущая, но взломщику требуется всего лишь задействовать немного знаний из области социальной инженерии, чтобы заставить неосторожного пользователя выдать личные сведения о себе. Сообщение из первоисточника гласит, что автозаполнение в Safari полностью активизируется при вводе первой буквы в любое поле, для которого доступна сохраненная информация; иными словами, для извлечения всего объема данных может быть достаточным определить возможное местонахождение пользователя по его IP и обманом вынудить его ввести первую букву из названия страны, где он находится.


Г-н Гроссман по-прежнему рекомендует при использовании обозревателя Safari полностью отключать автозаполнение форм, чтобы защититься от подобной атаки. Сделать это можно в настройках программы, в подменю "AutoFill" ("Автозаполнение") сняв отметки со всех трех доступных возможностей по хранению данных.


Более подробная информация доступна в блоге-первоисточнике.


PC World

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Магните запустили пилот подтверждения возраста через MAX

Торговая сеть «Магнит» приступила к тестированию подтверждения личности покупателей через MAX. Новая технология доступна пользователям мессенджера при оплате товаров с возрастными ограничениями через кассы самообслуживания (КСО).

Пилотный проект пока запущен в десяти магазинах в трех городах: в Москве, Краснодаре и Санкт-Петербурге. В ближайшее время ретейлер обещает расширить охват до 300 торговых точек, а также географию нововведения.

Пилот рассчитан на три месяца, в течение которых будет собираться обратная связь. По результатам будет принято решение о целесообразности дальнейшего масштабирования проекта.

Чтобы воспользоваться новой возможностью, пользователь мобильного MAX должен создать цифровой ID, привязав аккаунт к Госуслугам. При покупке товаров с возрастными ограничениями достаточно будет отсканировать на кассе QR-код, выведенный мессенджером.

Для запуска новой опции команде «Магнита» пришлось подкрутить софт КСО и поработать над его интеграцией с инфраструктурой MAX.

«Рассчитываем, что использование цифрового ID может значительно упростить процесс покупок товаров, которые имеют возрастные ограничения, — заявил Вячеслав Кубаев, главный директор по цифровым технологиям группы компаний «Магнит». — Кроме того, решение, которое мы тестируем, позволит в перспективе снизить нагрузку на персонал магазинов. В дальнейшем цифровой ID может быть использован и в других областях – например, чтобы идентифицировать клиентов, зарегистрированных в программе лояльности, и предлагать им персональный набор акций и услуг».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru