این باگ که در بانک اطلاعاتی ایندکس شده API سافاری ۱۵ دیده شده، امکان تعقیب کاربران را از طریق وب‌سایت‌های مخرب فراهم می‌سازد. مهاجم می‌تواند با بهره‌جویی از این روش، فعالیت‌های آنلاین کاربر را از طریق مرورگر مشاهده کرده و حتی هویت او را افشا کند.

باگ فوق افشای IndexedDB نام گذاری شده که در تاریخ ۲۸ نوامبر ۲۰۲۱ توسط محققان شرکت امنیتی فینگرپرینت جی. اس. شناسایی و به اپل گزارش شده است.

IndexedDB یک واسطه برنامه‌نویسی کاربردی (API) است که برای ذخیره سازی داده‌های سازماندهی شده مثل فایل‌ها، مورد استفاده قرار می‌گیرد.

موزیلا در گزارشی قید کرده که IndexedDB از سیاست‌های هم منشا که دیگر مرورگرها نیز از آن بهره می‌گیرند، استفاده می‌کند. بنابراین با وجود اینکه می‌توان به اطلاعات ذخیره شده در داخل یک دامنه دسترسی پیدا کرد، امکان دسترسی به داده دامنه‌های مختلف امکان پذیر نیست.

هم منشا، مکانیزم امنیتی بنیادیی است که به واسطه آن اطلاعاتی که از منشا متفاوتی دریافت می‌شوند، از یکدیگر متمایز می‌گردند. منشا می‌تواند ترکیبی از پروتکل ارتباطی، نام دامنه، نام پورت، URL و … باشد. به زبان ساده‌تر، اطلاعات Http://example[.]com و Https://example[.]com با یکدیگر تلفیق نمی‌شود، زیرا منشا آنها (پروتکل ارتباطی) یکسان نیست.

با این روش محدود سازی، امکان دسترسی و مشاهده اطلاعات یک منشا برای منشا دیگر، عملا غیر ممکن می‌شود، هدف نهایی این است که وب‌سایت‌های مخرب نتوانند با اجرای کدهای جاوا اسکریپت دستکاری شده، اطلاعات دامنه‌های دیگر، مثل ایمیل، را بخوانند.

اما متاسفانه در مرورگر سافاری ۱۵، این محدودیت به درستی رعایت نشده و در نتیجه تمامی دستگاه‌های مجهز به سیستم عامل iOS، iPadOS و مک تحت تاثیر این باگ قرار گرفته‌اند.

این شرکت امنیتی در گزارش خود آورده است که سافاری ۱۵ مک و تمام مرورگرهای iOS و iPadOS 15، از روش هم منشا استفاده نمی‌کنند. هر بار که یک وب سایت با بانک اطلاعاتی ارتباط برقرار می‌کند، یک بانک اطلاعاتی جدید (خالی)، با همان نام در دیگر پنجره یا تب‌های فعال آن نشست ایجاد می‌شود.

در نتیجه عدم رعایت سیاست هم منشا، وب‌سایت‌های می‌توانند از اطلاعات کاربر و همه فعالیت‌های او در وب‌سایت دیگر (در پنجره یا تبهای باز دیگر) مطلع شود. از آنجایی که سرویس‌های مختلف گوگل مثل یوتیوب و گوگل کلندر، کد کاربری گوگل کاربران احراز هویت شده را در بانک اطلاعاتی IndexedDB ذخیره می‌کنند، می‌توان به راحتی آنها را شناسایی کرد.  

این اتفاق نه تنها امکان شناسایی هویت کاربر را برای وب‌سایت مخرب فراهم می‌کند، بلکه امکان ارتباط دهی حساب‌های کاربری مختلف را نیز فراهم می‌کند.

این باگ در حالت وب‌گردی خصوصی (Private Browsing Mode)  نیز رخ می‌دهد به شرطی که کاربر برای اتصال به و‌سایت‌های مختلف از یک تب استفاده کند.

آسیب‌پذیری فوق به شرکت اپل گزارش شده اما هنوز پچی برای آن منتشر نگردیده است.

نظرات

نظر (به‌وسیله فیس‌بوک)