احتمال سرقت اطلاعات در مرورگر کروم و اج - مجله میکونوس

به تازگی گروهی از محققان مقاله ای را منتشر کرده اند که نشان می دهد چگونه کاربران از ویژگی های املایی پیشرفته گوگل کروم یا مایکروسافت اج استفاده می کنند. طبق این مقاله افراد ممکن است ندانسته گذرواژه ها و اطلاعات شناسایی شخصی را به سرور های مبتنی بر ابر دیگران منتقل کنند. این آسیب پذیری نه تنها اطلاعات خصوصی کاربر نهایی را در معرض خطر قرار می دهد، بلکه می تواند اعتبار اداری سازمان و سایر اطلاعات مربوط به زیرساخت را در معرض اشخاص غیرمجاز قرار دهد.

به گزارش سایت TECH SPOT، این آسیب پذیری از طریق جاش سامیت، بنیانگذار و مدیر ارشد فنی (CTO) شرکت otto-js در حین آزمایش قابلیت های تشخیص رفتار اسکریپت این شرکت کشف شد. در طول آزمایش، سامیت و تیم otto-js دریافتند که ترکیب مناسب ویژگی ها در بررسی املای پیشرفته کروم یا ویرایشگر MS Edge، اطلاعات حساس را به طور ناخواسته در معرض نمایش قرار می دهد و آن ها را به سرور های مایکروسافت و گوگل ارسال می کند.

هر دوی این مرورگر ها از کاربران می خواهند که دسترسی لازم را برای فعال کردن آن ها ارائه دهند و پس از فعال شدن، کاربران اغلب از اشتراک گذاری داده هایشان با سرور های شخص ثالث آگاه نیستند.

علاوه بر داده های میدانی، تیم otto-js همچنین دریافته است که رمز های عبور کاربر ممکن است از طریق گزینه view password در معرض قرار بگیرند. گزینه ای که برای کمک به کاربران در حصول اطمینان از این که گذرواژه ها به اشتباه کلید نخورده اند، به طور ناخواسته رمز عبور را از طریق توابع بررسی املا در معرض دید سرور های شخص ثالث قرار می دهد.

کاربران شخصی تنها کسانی نیستند که در معرض خطر هستند. این آسیب پذیری می تواند منجر به به خطر افتادن اعتبار سازمان ها از طریق اشخاص ثالث غیرمجاز شود. تیم otto-js مثال های زیر را ارائه کرد تا نشان دهد چگونه کاربرانی که وارد سرویس های ابری و حساب های زیرساختی می شوند، می توانند اعتبار دسترسی به حساب خود را ناآگاهانه به سرور های مایکروسافت یا گوگل منتقل کنند.

تیم otto-js آزمایش و تجزیه و تحلیل را در بین گروه های کنترل متمرکز بر رسانه های اجتماعی، ابزار های اداری، مراقبت های بهداشتی، دولت، تجارت الکترونیک و خدمات بانکی/مالی انجام داد.

بیش از 96 درصد از 30 گروه کنترل آزمایش شده، داده ها را به مایکروسافت و گوگل ارسال کردند. 73 درصد از آن سایت های آزمایش شده زمانی پسورد هایی را به سرور های شخص ثالث ارسال کردند که گزینه نمایش رمز عبور از طریق کاربر انتخاب شد. تیم otto-js با مایکروسافت 365، علی بابا کلود، گوگل کلود، AWS و LastPass تماس گرفت که نشان دهنده پنج سایت برتر و ارائه دهندگان خدمات ابری هستند که بیشترین ریسک را برای مشتریان شرکتی خود ارائه می دهند. طبق به روز رسانی های شرکت امنیتی، AWS و LastPass به این مشکل پاسخ داده و نشان داده اند که مشکل با موفقیت برطرف شده است.

بیشتر بخوانید

خبرنگاران فضای مجازی دریچه فناوری