Safari : un bug permet de révéler votre historique et une partie de votre identité

Un bug a été découvert dans la version 15 de Safari, et celui-ci peut faire fuiter des données de votre historique de navigation mais aussi quelques informations personnelles de votre compte Google, s’il est connecté.

L’entreprise FingerprintsJS, spécialisée dans la détection de fraudes en ligne, a révélé au grand jour un problème qui touche tous les navigateurs sur iOS et iPadOS, selon 9to5Mac, puisque ceux-ci passent par Safari pour le rendu des pages. La vulnérabilité vient d’un problème lié à l’implémentation d’IndexedDB, une app qui stocke des données sur votre navigateur, par Apple.

Une mauvaise conception d’Apple

Selon FingerprintJS, normalement votre navigateur doit seulement donner accès à des données par un site, uniquement à ce site. Si vous ouvrez un onglet avec un site A, un site B malicieux qui est ouvert dans un second onglet ne peut accéder aux données du site A, mais l’implémentation qu’a fait Apple de l’API pose problème.

Ici, Safari indique à chaque fois qu’un site interagit avec une base de données qu’il existe une nouvelle base, mais elle reprend le même nom que la première qui a été créée, ce qui signifie que tous les sites peuvent voir les noms des autres bases de données qui existent déjà, et ainsi accéder aux données qu’elles contiennent comme l’historique.

Cependant, si un site utilise votre identifiant Google comme YouTube, Google Calendar, Gmail… il crée une base de données contenant votre identifiant Google dans son nom et il peut donc être récupéré par un site malveillant, ainsi votre identité peut être trouvée. Et celui-ci peut même être utilisé via le mode incognito.

FingerprintJS a mis en place un site web qui est une démonstration de cette vulnérabilité. Elle montre ce qu’un site tiers peut récupérer comme information en utilisant ce bug.