Safari 15 de Apple tiene una falla de seguridad que filtra la actividad de navegación e identificadores personales

Los investigadores de FingerprintJS, un servicio de detección de huellas dactilares y fraude del navegador, revelaron que la implementación de IndexedDB por parte de Apple ha causado este error de software. Una IndexedDB es una interfaz de programación de aplicaciones (API) de navegador diseñada para contener cantidades significativas de datos. Es compatible con todos los principales navegadores, incluido Chrome, y se usa con mucha frecuencia.

Sin embargo, la implementación de IndexedDB de Apple permite que un atacante obtenga acceso a la actividad de navegación de un usuario o a la identidad adjunta a su cuenta de Google. Según los investigadores, también se sospecha que la visualización del modo privado en el navegador Safari 15 se ve afectada por la vulnerabilidad. La vulnerabilidad permite que otros sepan qué sitios web está visitando en diferentes pestañas o ventanas.

Además, también expone la ID de usuario de Google de un usuario a sitios web distintos de aquellos en los que uno ha iniciado sesión con su cuenta de Google. Esto es problemático porque la ID de usuario de Google es un identificador interno generado por Google. Se puede usar con las API de Google para obtener información personal pública del propietario de la cuenta, según los investigadores.

FingerprintJS afirma que la cantidad de sitios web que pueden interactuar y obtener acceso a la actividad de navegación y los datos personales de los usuarios es significativa. También ha creado una página de demostración que muestra cómo funciona la fuga.

El informe dice que más de 30 sitios web interactúan con bases de datos indexadas directamente en su página de inicio, sin ninguna interacción adicional del usuario ni necesidad de autenticación. “Sospechamos que este número es significativamente mayor en escenarios del mundo real, ya que los sitios web pueden interactuar con bases de datos en subpáginas, después de acciones específicas del usuario o en partes autenticadas de la página”, dijo el equipo de FingerprintJS.

Entonces, ¿qué pueden hacer los usuarios para protegerse? “Desafortunadamente, no hay mucho que los usuarios de Safari, iPadOS e iOS puedan hacer para protegerse sin tomar medidas drásticas. Una opción puede ser bloquear todo JavaScript de forma predeterminada y solo permitirlo en sitios de confianza. Esto hace que la navegación web moderna sea un inconveniente y probablemente no sea una buena solución para todos. Otra alternativa para los usuarios de Safari en Mac es cambiar temporalmente a un navegador diferente. Desafortunadamente, en iOS y iPadOS esta no es una opción ya que todos los navegadores se ven afectados”, agregaron los investigadores.