Ultima modifica da un moderatore:
Dataleak nel controllo ortografico di Google Chrome e Microsoft Edge
Tempo di lettura stimato: 8 min
Durante alcune attività di analisi generica di dataleak sui principali browser, i ricercatori di Otto-js hanno recentemente scoperto una nuova problematica all'interno di Google Chrome e Microsoft Edge dovuta all'utilizzo del controllo ortografico avanzato che faceva trapelare diverse informazioni riservate degli utenti, tra cui password, carte di credito, token, ecc. quando immesse all'interno di web form.
I ricercatori hanno battezzato questa issue col nome "Spell-jacking password exposure" e nello specifico impatta tutti i dispositivi che usano Google Chrome con l'"Enhanced Spell Check" abilitato e tutti i dispositivi che usano Microsoft Edge assieme all'MS Editor. Fortunatamente entrambe le casistiche non sono configurazioni di default dei browser che, invece, devono essere manualmente abilitate dall'utente, ma ciò nonostante sono comunque molti gli utenti che fanno affidamento a queste due implementazioni.
Per quanto la problematica possa risultare grave, molto probabilmente gli impatti derivati dal leak sono comunque minimali: le richieste contenenti le informazioni personali non possono essere intercettate mentre sono in transito, in quanto sono criptate grazie al protocollo HTTPS, e una volta giunte a destinazione ai server di Google e Microsoft pare che non possano essere ricollegate all'utente in nessun modo (come mostrato anche in figura sopra, non ci sono informazioni sull'utente all'interno del JSON inviato al server).
Di seguito le dichiarazioni di Google a riguardo:
Di seguito le dichiarazioni di Google a riguardo:
Inoltre, dati riservati come password o altri dati tradizionalmente "mascherati a schermo" non vengono inviati ai server di big G e Microsoft nel 100% dei casi, ma solo quando si decide esplicitamente di mostrarli in chiaro a schermo (eg. la funzionalità "mostra password"). Ciò non toglie che data leaks di questo tipo non dovrebbero mai verificarsi e che, comunque, non si sappia questi dati che fine facciano, se vengano trattati come dati riservati o se invece vengano dati in pasto ad algoritmi di analisi e diffusi poi con altre aziende.
La soluzione che gli utenti possono adottare per evitare la diffusione di queste informazioni è quella di disabilitare le due estensioni in questione e, in futuro, non attivare (se non strettamente necessario) impostazioni che inviino in background dati statistici o analitici ai vendor del prodotto.
La soluzione che gli utenti possono adottare per evitare la diffusione di queste informazioni è quella di disabilitare le due estensioni in questione e, in futuro, non attivare (se non strettamente necessario) impostazioni che inviino in background dati statistici o analitici ai vendor del prodotto.
Le compagnie possono invece ridurre il rischio di condivisione di informazioni personali dei loro clienti aggiungendo l'attributo
spellcheck=false a tutti i campi dei vari form a loro disposizione o, almeno, a quelli più sensibili.Potete trovare il report ufficiale dell'analisi condotta da otto di seguito, assieme al video YouTube esplicativo della problematica:
Vedi: https://www.youtube.com/watch?v=Onb0Usgs04I&ab_channel=ottoJavaScriptsecurity
Questo articolo di Otto mi ha fatto personalmente riflettere su quante altre problematiche del genere potrebbero esistere in tantissimi altri prodotti dalle funzionalità simili e sulla quantità di informazioni che vengono ricavate ogni giorni, OGNI SINGOLO GIORNO, da quello che digitiamo e cerchiamo online. Le tastiere virtuali che usiamo, ad esempio, potrebbero fare la stessa cosa. L'assistente vocale idem.
La domanda che mi sorge spontanea non è più "chissa se...", si è ormai trasformata in un "chissà quando...".Cosa ne pensate a riguardo? Eravate già a conoscenza della problematica?
Ulteriori informazioni in merito all'argomento le potete trovare ai seguenti link:
Spell-Checking in Google Chrome, Microsoft Edge Browsers Leaks Passwords
It's called "spell-jacking": Both browsers have spell-check features that send data to Microsoft and Google when users fill out forms for websites or Web services.
Beware! Your browsers may be leaking passwords; delete spell check now
Do you frequently use spell check extensions on your browser? It might be putting your passwords at risk. Here's what you need to know.
tech.hindustantimes.com
Spell-checking in Google Chrome, Microsoft Edge browsers leaks passwords - Urgent Comms
Spell-checking features present in both the Google Chrome and Microsoft Edge browsers are leaking sensitive user information — including username, email, and passwords — to Google and Microsoft, respectively, when people fill in forms on popular websites and cloud-based enterprise apps. The...
urgentcomm.com
