พฤศจิกายน 2021 รายงานบั๊ก Safari ที่ 위อ้ามความเป็นส่วนตัวผู้ใช้ปรากฏออนไลน์ ส่งผลต่อผู้ใช้ Safari ข้ามอุปกรณ์หลายเครื่อง บั๊ก IndexedDB ของ Safari 15 อนุญาตให้เว็บไซต์เข้าถึงข้อมูลฐานข้อมูลที่ไม่ควร
โดยสรุป หมายความว่าเว็บไซต์ที่คุณเยี่ยมชมบน Safari สามารถเห็นว่าคุณเคยเยี่ยมชมเว็บไซต์อื่นอะไรบ้าง เราจะอธิบายสิ่งที่คุณทำได้เพื่อหยุดมันด้านล่าง
บั๊ก Safari 15 นี้ทำอะไร?
ตามรายงานจาก FingerprintJS IndexedDB API ละเมิด Same-origin Policy ใน Safari 15 บน iPhone, iPad และ Mac ด้วยช่องโหว่นี้ เว็บไซต์ที่ผู้ใช้ Safari เยี่ยมชม สามารถดูเว็บไซต์อื่นที่เปิดอยู่ในแท็บหรือหน้าต่างได้
นอกจากนี้ บั๊กยังเปิดเผยชื่อฐานข้อมูลสำหรับโดเมนใดๆ ซึ่งแฮกเกอร์ใช้ดึงข้อมูลระบุตัวตนของคุณ แม้การเข้าถึงเนื้อหาจริงของฐานข้อมูลแต่ละอันยังถูกจำกัด การเก็บข้อมูลด้วยช่องโหว่นี้ยังก่อให้เกิดความกังวล
FingerprintJS บันทึกว่าแฮกเกอร์อาจมุ่งเป้าผู้ใช้ด้วยการได้ Browser info ผ่าน Google User ID โดยใช้เว็บอย่าง YouTube, Google Calendar ฯลฯ ผู้ใช้ Safari อาจเปิดเผยข้อมูลสาธารณะให้เว็บอื่นโดยไม่ยินยอม
เพิ่มเติม ช่องโหว่ยังอนุญาตให้เว็บไซต์ต่อชิ้นบัญชีที่ไม่เกี่ยวข้องภายใต้โปรไฟล์ออนไลน์ของคุณ สำหรับคนที่มองจะกระจายศูนย์ตัวตนออนไลน์ นี่เป็นปัญหา
หากคุณอยากลองเอง FingerprintJS ปล่อย Live Demo จำลองการทำงานของช่องโหว่กับ 30 เว็บที่เยี่ยมชมบ่อย
ในเดโม ผู้ใช้ Safari เห็นว่ามีฐานข้อมูลกี่อันรั่วไหลจากเบราว์เซอร์ ตามเว็บที่เยี่ยมชม หากเป็นไปได้ เดโมจะเปิดเผย Google User ID และรูปโปรไฟล์ที่เป็นเอกลักษณ์ของคุณ
ตั้งแต่ มกราคม 2022 วิศวกร Apple เริ่มทำงานแก้ไขปัญหา ตามที่แสดงบน GitHub ในที่สุด Safari ควรจำกัดเว็บไซต์ไม่ให้เห็นฐานข้อมูลที่สร้างโดยโดเมนเนมเดียวกับของมัน ณ ขณะเขียน ทุกเวอร์ชัน Safari ปัจจุบันบน iPhone, iPad และ Mac กำลังประสบบั๊กนี้
อัปเดต: วันที่ 27 มกราคม 2022 Apple ปล่อย iOS 15.3 ซึ่งสัญญาแก้ช่องโหว่ความปลอดภัยกับ Safari 15 อัปเดตอุปกรณ์ Apple ของคุณเป็นซอฟต์แวร์ล่าสุดเพื่อได้รับการแก้ไขนี้
คุณทำอะไรได้เพื่อป้องกันตัวจากบั๊ก Safari 15?
ในขณะนี้ ผู้ใช้ Safari สามารถใช้วิธีแก้ไขชั่วคราวได้ ขณะที่ช่องโหว่ยังคงอยู่ จนกว่า Apple จะแก้ปัญหา Safari ด้วยอัปเดต มีเพียงไม่กี่อย่างที่ผู้ใช้ Safari ทำได้เพื่อป้องกันตัว:
ลบข้อมูลสาธารณะที่เข้าถึงได้
เพราะบั๊ก Safari 15 ใช้ประโยชน์จากฐานข้อมูล จึงสมเหตุสมผลที่จะลดการเข้าถึงข้อมูลที่มันเก็บได้ ดังนั้น แม้คุณไม่ทำให้ Google ID หายไป คุณสามารถทำให้ข้อมูลน้อยลงที่เชื่อมโยงกับมัน ตัวอย่าง คุณลบรูปโปรไฟล์ Google และเปลี่ยนชื่อบนบัญชี Google ชั่วคราว
ทำงานกระจายศูนย์ข้อมูลส่วนตัวของคุณ
แม้บั๊กใหม่สามารถเชื่อมโยงบัญชีออนไลน์แยกกันใน Safari ได้ แตเป็นไปได้ที่จะทำให้แฮกเกอร์ดึงข้อมูลที่มีประโยชน์จากพวกมันยากขึ้น เพื่อทำได้นี้ ควรกระจายศูนย์ข้อมูลส่วนตัวอย่างต่อเนื่อง ซึ่งคุณทำได้โดยสร้างอีเมลหลายบัญชี หลีกเลี่ยงบริการ Single-sign on ฯลฯ
หลีกเลี่ยงการท่องเว็บที่ไม่จำเป็น
จนกว่า Apple จะแก้บั๊ก Safari 15 คุณอาจอยากใช้เวลาน้อยลงบนเว็บไซต์สุ่มที่คุณไม่ไว้ใจข้อมูลอย่างแน่นอน จริงๆ แล้ว ไม่มีการรับประกันว่าเว็บไซต์ที่น่าเชื่อถือกว่าจะไม่พยายามใช้ช่องโหว่นี้ สำหรับเหตุผลนี้ คุณอาจอยากใช้ฟีเจอร์ Screen Time ของ iPhone เก็บคุณออฟไลน์นานขึ้น
ใช้เบราว์เซอร์อื่น
หากทุกอย่างล้มเหลว คุณอาจอยากลองเบราว์เซอร์อื่น แท้จริงมีเบราว์เซอร์ทางเลือกมากมายที่เสนอตัวเลือกความเป็นส่วนตัวที่ยอดเยี่ยม
ให้ Safari หยุดพัก
เพื่อให้ข้อมูลเบราว์เซอร์ถูกใช้ประโยชน์ ผู้ใช้ปลายทางไม่ต้องทำอะไรนอกจากทิ้งแท็บหรือหน้าต่าง Safari เปิดอยู่ น่าเสียดาย บั๊ก Safari 15 ยังส่งผลต่อโหมด Private Browsing ของ Safari ดังนั้น นั่นไม่ใช่โซลูชันสมบูรณ์
อย่างไรก็ตาม มีสิ่งเล็กๆ อื่นๆ ที่คุณทำได้เพื่อเก็บการท่องเว็บปลอดภัยและมั่นใจ คุณยังติดตาม Apple และหัวข้อแทรนด์ที่เกี่ยวข้องบนโซเชียลมีเดีย เพื่อรู้ว่าเมื่อไหร่นักพัฒนาแก้ไขปัญหา
