Ernstig privacy-lek in alle browsers
Beveiligingsonderzoekers hebben privacy-lekken ontdekt die in alle bekende browsers aanwezig zijn, en ervoor zorgen dat internetgebruikers zonder cookies en IP-adressen toch zijn te volgen. Elke browser heeft een unieke vingerafdruk, die via de informatie die de browser lekt is samen te stellen. Hierbij worden maatregelen zoals IE's InPrivate mode, Firefox's Private Browsing, Safari's Private Browsing en Chrome's Incognito mode volledig omzeild. Naast deze vier browsers zijn de privacy-lekken ook in Opera aanwezig. "Het mag duidelijk zijn dat andere versies van deze browsers, andere platformen en andere browsers in het algemeen met soortgelijke problemen te maken hebben", zegt Amit Klein.
Het probleem zit hem in de Javascript Math.random functie en boundary string die informatie lekken. Door deze gegevens te combineren, is het mogelijk om het unieke browser proces in kaart te brengen. Zodra de browser wordt afgesloten verdwijnt de informatie, waardoor het monitoren van de gebruiker stopt, in tegenstelling tot bijvoorbeeld cookies die voor onbepaalde tijd op een systeem actief kunnen zijn. Naast het lekken van informatie zijn de kwetsbaarheden ook te gebruiken voor "in session phishingaanvallen", waarschuwt Klein.
Oplossing
De onderzoeker adviseert gebruikers die hun privacy belangrijk vinden om alle browser processen regelmatig af te sluiten, met name tussen het bezoeken van websites waarvan men niet wil dat die met elkaar geassocieerd worden. Daarnaast moet men natuurlijk de standaard privacy-maatregelen volgen, zoals het verwijderen van alle cookies en cache. Applicatieontwikkelaars wordt aangeraden om niet op de willekeurigheid en onvoorspelbaarheid van Javascript’s Math.random functie te vertrouwen. Microsoft, Apple, Mozilla, Google en Opera doen er volgens Klein verstandig aan om hun code te herzien.
Het gaat er omdat geen persoonlijke worden bewaard op de computer, niet dat je niet kan worden ge-tracked.
zijn de privacy-lekken ook in Opera aanwezig
andere platformen
probleem zit hem in de Javascript Math.random functie en boundary string
gegevens te combineren
De onderzoeker adviseert gebruikers die hun privacy belangrijk vinden om alle browser processen regelmatig af te sluiten, met name tussen het bezoeken van websites waarvan men niet wil dat die met elkaar geassocieerd worden
volgens Klein (doen ALLE browser fabrikanten er) verstandig aan om hun code te herzien[/quote]Waarom heb ik er daar nu geen zin in? Ik weet 't al: Ga slapen,
Ok.
(Aarghh!: Na 5x wijzigen:KO!..)
(zal wel vaste IP adressen moeten zijn).......
Voormijn gevoel past dit ook een beetje onder de noemer. Mensen kunnen naar binnen kijken. Je kan de gordijnen dicht doen maar er is altijd de kans dat er een gaatje open blijft waardoor je naar binnen kan kijken.
Cokies weg gooien net als de rest van de geschiedenis java script standaard uit en af en toen browser her starten. Zou de oplossing zijn? das mooi.
Microsoft, Apple, Mozilla, Google en Opera
Ik mis Konqueror is dit te exotisch of is het hierbij niet mogelijk. Konqueror draait overigens alleen onder Linux (misschien ook DSB SirDice)
Inschakkelen van NOScript in Firefox kan dit trouwens tegengaan, voor de websites die je blokkeerd. Die websites kunnen namelijk dan geen JavaScript uitvoeren, dus kunnen ze ook niks met Math.random() doen.
Om dit zelf te testen kun je bijv. inloggen op een google account, privémode starten en een andere google applicatie waarvoor je hetzelfde account gebruikt openen.
Je kan trouwens dan gewoon beter Scroogle als zoekmachine gebruiken, dan heb je die hele extensie niet nodig en er is ook nog een SSL versie van Scroogle.
Konqueror draait overal waar KDE draait, dus zelfs op Windows. (Het is BSD trouwens.)
Konqueror draait overal waar KDE draait, dus zelfs op Windows. (Het is BSD trouwens.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
