Tháng 11 năm 2021, báo cáo về lỗi Safari đe dọa quyền riêng tư người dùng xuất hiện trực tuyến. Ảnh hưởng đến người dùng Safari trên nhiều thiết bị, lỗi IndexedDB của Safari 15 cho phép các trang web truy cập thông tin cơ sở dữ liệu mà chúng không nên.
Về cơ bản, điều này có nghĩa là các trang web bạn truy cập trên Safari có thể thấy bạn đã truy cập các trang web khác nào. Chúng tôi sẽ giải thích những gì bạn có thể làm để ngăn chặn nó bên dưới.
Lỗi Safari 15 Này Làm Gì?
Dựa trên báo cáo từ FingerprintJS, API IndexedDB vi phạm chính sách cùng nguồn (same-origin policy) trong Safari 15 trên iPhone, iPad và Mac. Với lỗ hổng này, các trang web mà người dùng Safari truy cập cũng có thể xem các trang web khác đang mở trên thẻ hoặc cửa sổ của nó.
Ngoài ra, lỗi này cũng tiết lộ tên cơ sở dữ liệu cho bất kỳ miền nào, mà hacker có thể sử dụng để trích xuất thông tin nhận dạng cho bạn. Mặc dù truy cập vào nội dung thực tế của từng cơ sở dữ liệu vẫn bị hạn chế, việc khai thác dữ liệu bằng lỗ hổng này vẫn có thể gây lo ngại tiềm ẩn.
FingerprintJS lưu ý rằng hacker có thể nhắm mục tiêu người dùng bằng cách lấy thông tin trình duyệt của họ thông qua ID người dùng Google. Bằng cách sử dụng các trang như YouTube, Google Calendar, v.v., người dùng Safari đang gặp nguy cơ tiết lộ thông tin công khai của họ cho các trang web khác mà không đồng ý.
Ngoài ra, lỗ hổng cũng cho phép các trang web ghép nối các tài khoản không liên quan dưới hồ sơ trực tuyến của bạn. Đối với những người muốn phi tập trung hóa danh tính trực tuyến, điều này có thể gây rắc rối.
Nếu bạn muốn tự thử, FingerprintJS cũng phát hành bản demo trực tiếp, mô phỏng cách lỗ hổng hoạt động với 30 trang web thường truy cập.
Trong bản demo, người dùng Safari có thể thấy có bao nhiêu cơ sở dữ liệu đang rò rỉ từ trình duyệt của họ dựa trên các trang web họ đã truy cập. Nếu có thể, bản demo cũng sẽ tiết lộ ID người dùng Google duy nhất và ảnh hồ sơ của bạn.
Tính đến tháng 1 năm 2022, kỹ sư Apple đã bắt đầu làm việc giải quyết vấn đề, như được hiển thị trên GitHub. Lý tưởng nhất, Safari sẽ có thể giới hạn các trang web nhìn thấy cơ sở dữ liệu được tạo bởi cùng tên miền như của chính nó. Tính đến thời điểm viết, tất cả các phiên bản hiện tại của Safari trên iPhone, iPad và Mac đều gặp lỗi.
Cập nhật: Ngày 27 tháng 1 năm 2022, Apple phát hành iOS 15.3, hứa hẹn giải quyết lỗ hổng bảo mật với Safari 15. Cập nhật thiết bị Apple của bạn lên bản cập nhật phần mềm mới nhất có sẵn để hưởng lợi từ bản sửa lỗi này.
Bạn Có Thể Làm Gì Để Bảo Vệ Mình Trước Lỗi Safari 15?
Trong lúc chờ đợi, người dùng Safari có thể sử dụng các giải pháp thay thế tiềm năng trong khi lỗ hổng vẫn tồn tại. Cho đến khi Apple khắc phục vấn đề Safari bằng bản cập nhật, chỉ có một vài việc người dùng Safari có thể làm để bảo vệ mình:
Xóa Thông Tin Có Sẵn Công Khai
Vì lỗi Safari 15 chủ động khai thác cơ sở dữ liệu, việc giảm bớt truy cập vào dữ liệu nó có thể thu thập là hợp lý. Vì vậy, trong khi bạn không thể làm biến mất ID Google của mình, bạn có thể làm cho ít thông tin hơn được liên kết với nó. Ví dụ, bạn có thể xóa ảnh hồ sơ Google và thay đổi tên trên tài khoản Google tạm thời.
Làm Việc Về Phi Tập Trung Hóa Dữ Liệu Cá Nhân
Mặc dù lỗi mới có thể liên kết các tài khoản trực tuyến riêng biệt trong Safari, nhưng có thể làm cho hacker khó khăn hơn trong việc kéo dữ liệu hữu ích từ chúng. Để hoàn thành điều này, tốt nhất là chủ động phi tập trung hóa dữ liệu cá nhân của bạn, bạn có thể làm bằng cách tạo nhiều địa chỉ email, tránh dịch vụ đăng nhập đơn (single-sign on), v.v.
Tránh Duyệt Web Không Cần Thiết
Cho đến khi Apple giải quyết lỗi Safari 15, bạn có thể muốn dành ít thời gian hơn trên các trang web ngẫu nhiên mà bạn không nhất thiết tin tưởng với dữ liệu của mình. Thực tế, cũng không có đảm bảo rằng các trang web uy tín hơn cũng sẽ không cố gắng khai thác lỗ hổng này. Vì lý do này, bạn có thể muốn sử dụng tính năng Screen Time của iPhone để giữ bạn ngoại tuyến lâu hơn.
Sử Dụng Trình Duyệt Khác
Nếu tất cả đều thất bại, bạn có thể muốn cân nhắc thử một trình duyệt khác. Thực tế, có rất nhiều trình duyệt thay thế cung cấp các tùy chọn quyền riêng tư tuyệt vời.
Cho Safari Nghỉ Ngơi
Để dữ liệu trình duyệt bị khai thác, người dùng cuối thậm chí không phải làm bất cứ điều gì ngoại trừ để một thẻ hoặc cửa sổ Safari mở. Thật không may, lỗi Safari 15 cũng ảnh hưởng đến chế độ Duyệt Ẩn Danh của Safari, nên đó cũng không phải là giải pháp hoàn hảo.
Tuy nhiên, có những điều nhỏ khác bạn có thể làm để giữ an toàn cho việc duyệt web của mình. Bạn cũng có thể theo dõi Apple và các chủ đề xu hướng liên quan trên mạng xã hội để biết khi nào nhà phát triển giải quyết vấn đề.