Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Баг в Safari допускает межсайтовое отслеживание пользователей iPhone

Apple пока не смогла устранить баг, затрагивающий имплементацию API IndexedDB в браузере Safari. В результате владельцы вредоносных сайтов могут отслеживать онлайн-активность пользователей и даже в определённых случаях раскрывать их личность.

Уязвимость получила имя IndexedDB Leaks, первыми её обнаружили специалисты компании FingerprintJS. 28 ноября 2021 года исследователи уведомили корпорацию из Купертино о проблеме, однако она по сей день актуальна.

IndexedDB представляет собой низкоуровневый JavaScript-API, которым оснащены современные веб-браузеры для управления БД NoSQL. Как пишет в документации Mozilla, IndexedDB следует той же политике, что и другие веб-хранилища: вы сможете получить доступ к данным в пределах одного домена, но не сможете добраться до информации из других доменов.

По-другому это называют принципом изоляции, чтобы важные пользовательские данные не просочились от одного домена другому. Он помогает избавиться от вектора атаки, когда вредоносный сайт запускает JavaScript-код, пытающийся считать информацию с другого домена.

 

Как раз здесь эксперт и нашёл ошибку в способе обработки IndexedDB в Safari. Причём проблема затрагивает как мобильную версию браузера (iOS, iPadOS), так и десктопную (macOS). Как объяснил Мартин Бажаник, при каждом взаимодействии веб-ресурса с базой данных во всех других активных фреймах, а также во вкладках и окнах (в пределах одной сессии браузера) создаётся новая (пустая) БД с тем же именем.

В результате администраторы злонамеренных сайтов могут не только узнать, что пользователь делает на других ресурсах, но и «опознать» его по аккаунту в сервисах Google Календарь и на YouTube. Хуже того, эта проблема затрагивает и режим частного доступа в Safari 15, так что Apple пора бы задуматься о выпуске патча.

В WhatsApp появится приватный режим для разговоров с ИИ

Meta (признана экстремисткой и запрещена в России) добавит в WhatsApp возможность запускать приватные разговоры с чат-ботом Meta AI. Компания обещает, что такие сессии не будут сохраняться, а сообщения исчезнут после закрытия чата.

Новый режим можно будет включить через отдельную иконку в личном чате с Meta AI. Позже он появится и в самостоятельном приложении Meta AI. Развёртывание функции в WhatsApp и Meta AI App займёт несколько месяцев.

В Meta объясняют, что пользователи всё чаще обращаются к ИИ с личными вопросами — от финансов и здоровья до советов по сложным перепискам с друзьями или коллегами. Поэтому компания хочет дать возможность задавать такие вопросы более приватно.

Инкогнито-сессия будет завершаться, если пользователь закроет чат, заблокирует телефон или выйдет из приложения. После этого Meta AI потеряет контекст разговора и не сможет продолжить беседу с учётом предыдущих сообщений.

Для работы таких чатов Meta использует инфраструктуру private processing. Корпорация рассказывала о ней в прошлом году: она нужна для запуска ИИ-функций в WhatsApp без нарушения сквозного шифрования. На этой архитектуре уже работают, например, ИИ-сводки сообщений.

По словам Meta, новый режим использует модель Muse Spark, представленную в прошлом месяце. Ранее для некоторых ИИ-функций в WhatsApp применялись более компактные модели.

Компания также готовит ещё одну функцию — Side Chat. Она позволит обращаться к Meta AI прямо внутри обычных переписок, но так, чтобы другие участники чата не видели запрос и ответ. Сейчас для общения с ИИ в групповом или личном чате нужно явно упоминать ассистента, и ответ видят все участники.

Meta выходит с приватными ИИ-чатами на рынок, где похожие режимы уже есть у ChatGPT и Claude. Кроме того, свои приватные чат-боты развивают DuckDuckGo и Proton.

Тема приватности ИИ-переписок становится всё важнее: пользователи всё чаще обсуждают с чат-ботами чувствительные темы, а юристы уже предупреждают, что такие диалоги в отдельных случаях могут всплывать в судебных разбирательствах.

RSS: Новости на портале Anti-Malware.ru