[NEWS] Safari e IE non difendono le password?

[c.m.g]

giovedì 22 luglio 2010

Spoiler:

A sostenerlo è un ricercatore, che afferma di aver individuato una falla nel sistema di autocompletamento dei campi del browser Apple e di quello Microsoft. Problemi anche per Firefox e Chrome

Roma - La funzione di autocompletamento delle form di Safari e Internet Explorer potrebbe esporre gli utenti a gravi rischi per la sicurezza. A rivelarlo è stato il ricercatore Jeremiah Grossman, CTO di WhiteHat Security, secondo il quale l'autocompletanto può essere sfruttato da malintenzionati per ottenere dati personali come password, numeri di carta di credito e indirizzi email.

Grossman ha detto che rilascerà un attacco proof-of-concept in occasione dell'imminente conferenza Black Hat di Las Vegas, in programma la prossima settimana: questo attacco dovrebbe dimostrare come sia possibile costruire una pagina web che, senza alcuna interazione da parte dell'utente, sia in grado di sottrarre i dati relativi all'autocompletamento delle form. In pratica si tratta di un JavaScript che inserisce automaticamente lettere e numeri all'interno di un campo di testo e attende che il browser li autocompleti: ad esempio, inserendo la lettera "p" all'interno del campo "email", un sito web maligno potrebbe ottenere in risposta un indirizzo di posta elettronica che inizi per quella lettera.

Il ricercatore USA afferma che il suo attuale exploit funziona con le versioni 4 e 5 di Safari e con le versioni 6 e 7 di IE. Firefox e Chrome non sono vulnerabili a questo particolare attacco, ma Grossman afferma che soffrono di una debolezza cross-site scripting che può consentire ad un aggressore di ottenere user name e password salvate dal browser.

Il dirigente di WhiteHat Security afferma di aver avvisato Apple del problema oltre un mese fa, ma di non aver ancora ricevuto alcuna risposta.

Alessandro Del Rosso






Fonte: Punto Informatico

[c.m.g]

Gravi bug mettono a rischio i dati di login su webnews

Safari: occhio al privacy bug su downloadblog

[sampei.nihira]

Anche Megalab riporta questa notizia,basta ovviamente cercarla.
In merito a ciò mi preme sottolineare come la mancata diffusione di un browser quale Opera (nulla è trapelato in merito) lo pone in modo automatico fuori dalle "attenzioni di studio".
Se da un lato è un male,per via di eventuali bugs che restano nascosti, da un versante opposto, un browser poco usato e diffuso viene certamente preso di mira in misura notevolmente minore dai "soliti furboni".
Che hanno tutto l'interesse a colpire i "più deboli" del "mucchio".

Simile alla legge della sovravvivenza un esempio che ritorna alla mente è quello del leone che afferra nel mucchio la gazzella più debole (magari ferita,in età avanzata ecc ecc) che non ha saputo correre veloce o avere riflessi simili alle compagne.

Stare quindi alla larga da browser percentualmente diffusi (ad esempio I.E.) è quindi salutare solo per quanto riportato sopra.

[lancetta]

..e magari evitare di tenere pass in memoria del browser..è vero per chi ha tante pass potrebbe essere un problema..ma personalmente evito lo stesso.

Saluti

[c.m.g]

fino ad ora è sempre risultato opera uno dei migliori a proteggere password memorizzate, questo anche in passato.

[off topic on]
benvenuto lancetta, è da un bel po' che non ti leggevo
[off topico off]

[lancetta]

Originariamente inviato da c.m.g

fino ad ora è sempre risultato opera uno dei migliori a proteggere password memorizzate, questo anche in passato.

[off topic on]
benvenuto lancetta, è da un bel po' che non ti leggevo
[off topico off]

Opera è sempre uno dei migliori..ma anche uno dei meno attaccati per la bassa diffusione, direi.
[off topic on]
è sempre un piacere leggere te caro c.m.g
[off topic off]

[lancetta]

Originariamente inviato da c.m.g

fino ad ora è sempre risultato opera uno dei migliori a proteggere password memorizzate, questo anche in passato.

[off topic on]
benvenuto lancetta, è da un bel po' che non ti leggevo
[off topico off]

Opera è sempre uno dei migliori..ma anche uno dei meno attaccati per la bassa diffusione, direi.
[off topic on]
è sempre un piacere leggere te caro c.m.g
[off topic off]

[c.m.g]

Originariamente inviato da lancetta

[...]
[off topic on]
è sempre un piacere leggere te caro c.m.g
[off topic off]