Os hackers podem explorar esse bug para obter seu ID de usuário do Google
O bug permite que qualquer site que use a API IndexedDB para armazenamento de dados obtenha os nomes de outros sites abertos pelo usuário durante uma sessão de navegação, mesmo que sejam abertos em uma guia ou janela diferente. Os sites afetados também devem usar IndexedDB, que é conhecido por armazenar “uma quantidade significativa de dados”.
A demonstração mostra como o bug do Safari pode revelar os nomes de determinados sites que você visitou recentemente
Alguns desses bancos de dados expõem identificadores específicos do usuário que podem ser usados por invasores para capturar o nome do usuário. Os aplicativos que colocam esses identificadores específicos do usuário em seus bancos de dados incluem YouTube, Google Agenda e Google Keep.
Os identificadores usados com aplicativos como YouTube, Google Agenda e Google Keep incluem o ID de usuário do Google de uma pessoa. Você pode provar isso por si mesmo abrindo Safarileaks.com no navegador da web móvel do seu iPhone ou iPad. Siga as instruções e, dependendo dos sites que você visitou recentemente, seu ID de usuário do Google aparecerá junto com o nome de determinados sites que você abriu recentemente.
Dispositivos com iOS 14 ou iPadOS 14 não são afetados pelo bug
Com seu ID de usuário do Google, um hacker pode identificar uma conta específica do Google. Talvez um pouco mais preocupante, em combinação com as APIs do Google, o bug pode revelar sua foto de perfil a um hacker pelo menos e muito mais informações pessoais no pior cenário.
Um dos problemas com esse bug é que ele não exige que você faça nada de especial para se colocar em risco. Você não precisa ser enganado para tocar em um link ou abrir um determinado site. E o FingerprintJS descobriu que 30 dos 1.000 principais sites visitados (computados pelo Alexa) têm IndexedDB diretamente em sua página inicial, o que facilita para um usuário de iPhone ou iPad entrar nesse bug involuntariamente.
E até que a Apple entregue a atualização, não há muito que um usuário possa fazer para evitar isso. Os usuários de Mac podem trocar de navegador, mas os usuários de iOS e iPadOS devem usar um navegador que execute o mecanismo WebKit, para que isso não ajude muito. Uma sugestão é bloquear todo o JavaScript por padrão e permitir apenas em sites 100% confiáveis.
Os hackers podem explorar esse bug para obter seu ID de usuário do Google
O bug permite que qualquer site que use a API IndexedDB para armazenamento de dados obtenha os nomes de outros sites abertos pelo usuário durante uma sessão de navegação, mesmo que sejam abertos em uma guia ou janela diferente. Os sites afetados também devem usar IndexedDB, que é conhecido por armazenar “uma quantidade significativa de dados”.
A demonstração mostra como o bug do Safari pode revelar os nomes de determinados sites que você visitou recentemente
Alguns desses bancos de dados expõem identificadores específicos do usuário que podem ser usados por invasores para capturar o nome do usuário. Os aplicativos que colocam esses identificadores específicos do usuário em seus bancos de dados incluem YouTube, Google Agenda e Google Keep.
Os identificadores usados com aplicativos como YouTube, Google Agenda e Google Keep incluem o ID de usuário do Google de uma pessoa. Você pode provar isso por si mesmo abrindo Safarileaks.com no navegador da web móvel do seu iPhone ou iPad. Siga as instruções e, dependendo dos sites que você visitou recentemente, seu ID de usuário do Google aparecerá junto com o nome de determinados sites que você abriu recentemente.
Dispositivos com iOS 14 ou iPadOS 14 não são afetados pelo bug
Com seu ID de usuário do Google, um hacker pode identificar uma conta específica do Google. Talvez um pouco mais preocupante, em combinação com as APIs do Google, o bug pode revelar sua foto de perfil a um hacker pelo menos e muito mais informações pessoais no pior cenário.
Um dos problemas com esse bug é que ele não exige que você faça nada de especial para se colocar em risco. Você não precisa ser enganado para tocar em um link ou abrir um determinado site. E o FingerprintJS descobriu que 30 dos 1.000 principais sites visitados (computados pelo Alexa) têm IndexedDB diretamente em sua página inicial, o que facilita para um usuário de iPhone ou iPad entrar nesse bug involuntariamente.
E até que a Apple entregue a atualização, não há muito que um usuário possa fazer para evitar isso. Os usuários de Mac podem trocar de navegador, mas os usuários de iOS e iPadOS devem usar um navegador que execute o mecanismo WebKit, para que isso não ajude muito. Uma sugestão é bloquear todo o JavaScript por padrão e permitir apenas em sites 100% confiáveis.
