Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Apple пока не смогла устранить баг, затрагивающий имплементацию API IndexedDB в браузере Safari. В результате владельцы вредоносных сайтов могут отслеживать онлайн-активность пользователей и даже в определённых случаях раскрывать их личность.

Уязвимость получила имя IndexedDB Leaks, первыми её обнаружили специалисты компании FingerprintJS. 28 ноября 2021 года исследователи уведомили корпорацию из Купертино о проблеме, однако она по сей день актуальна.

IndexedDB представляет собой низкоуровневый JavaScript-API, которым оснащены современные веб-браузеры для управления БД NoSQL. Как пишет в документации Mozilla, IndexedDB следует той же политике, что и другие веб-хранилища: вы сможете получить доступ к данным в пределах одного домена, но не сможете добраться до информации из других доменов.

По-другому это называют принципом изоляции, чтобы важные пользовательские данные не просочились от одного домена другому. Он помогает избавиться от вектора атаки, когда вредоносный сайт запускает JavaScript-код, пытающийся считать информацию с другого домена.

 

Как раз здесь эксперт и нашёл ошибку в способе обработки IndexedDB в Safari. Причём проблема затрагивает как мобильную версию браузера (iOS, iPadOS), так и десктопную (macOS). Как объяснил Мартин Бажаник, при каждом взаимодействии веб-ресурса с базой данных во всех других активных фреймах, а также во вкладках и окнах (в пределах одной сессии браузера) создаётся новая (пустая) БД с тем же именем.

В результате администраторы злонамеренных сайтов могут не только узнать, что пользователь делает на других ресурсах, но и «опознать» его по аккаунту в сервисах Google Календарь и на YouTube. Хуже того, эта проблема затрагивает и режим частного доступа в Safari 15, так что Apple пора бы задуматься о выпуске патча.

Т-Банк выпустил новое приложение для iPhone. Скачивать лучше не откладывать

Пользователям Т-Банка на iPhone снова стоит поторопиться. В App Store появилось обновлённое официальное приложение банка под названием Toastmas, которое после установки и аутентификации переименовывается в привычное лаконичное «Т».

Главная причина для обновления — совместимость с новой бета-версией iOS 27. В банке сообщили, что именно это стало ключевым исправлением в свежем релизе.

В службе поддержки также рекомендуют устанавливать новые версии приложений по мере их появления. По словам представителей банка, актуальные сборки обеспечивают более высокий уровень безопасности и надежности по сравнению со старыми версиями.

 

Появление новых приложений вместо привычного «Т-Банка» уже давно стало своеобразной традицией для владельцев iPhone. Из-за ограничений в App Store банк периодически публикует обновленные версии под новыми названиями, а пользователям приходится следить за их появлением и успевать установить их до возможного удаления из магазина.

На этот раз роль «спасательного круга» для клиентов выполняет приложение Toastmas.

Поэтому если на вашем iPhone до сих пор стоит старая версия банковского приложения или вы давно ждали возможность установить официальный клиент Т-Банка, откладывать не стоит. Практика показывает, что такие приложения могут исчезать из App Store так же неожиданно, как и появляются.

RSS: Новости на портале Anti-Malware.ru