Ако сте като повечето хора, разчитате на автоматично попълване на браузъра, за да завършите досадните уеб формуляри. Автоматичното попълване на браузъра автоматично попълва информацията ви в полета в уеб формуляри въз основа на информацията, която сте въвели преди това в тези полета.

Лошата новина е, че злонамерени трети лица и хакери с черни шапки могат да използват тази функция за автоматично попълване в браузърите, за да те подмамят да раздават чувствителната си информация. Хакерът от Белия дом, Viljami Kuosmanen, който също е уеб програмист, показа в демонстрацията си за GitHub, че нападателите могат да отвлекат функцията за автоматично попълване в плъгини, мениджъри на пароли (и такива инструменти) и браузъри.

Много преди Kuosmanen, анализаторът по сигурността на ElevenPaths Рикардо Мартин Родригес бе открил уязвимостта на автоматичното попълване на браузъра през 2013 г. Досега Google не намери решение за тази уязвимост.

Разсейвайки чувствителната си информация несъзнателно

На демонстрационния уеб сайт на Kuosmanen за демонстрация на концепция ще видите прост уеб формуляр, състоящ се само от две полета - име и имейл адрес. Формата обаче има много скрити полета (т.е. тези скрити полета включват адрес, организация, телефонен номер, град, пощенски код и държава.

Във форма като тази по-горе ще виждате само имената и имейлите, но функцията за автоматично попълване автоматично ще попълни вашите данни в останалите полета. Фушистният уеб формуляр, като този по-горе, би събрал повече информация, отколкото сте наясно, когато кликнете върху бутона "Изпращане".

За да тествате функциите на браузъра и разширението за автоматично попълване, можете да използвате сайта за проверка на концепцията, който Kuosmanen е създал. При подаването на формуляра забелязах, че е взел повече информация, отколкото съм дал. Използвах последния Mozilla Firefox за този тест и бях изумен колко много информация излях.

В данните за автоматично попълване на Chrome се задейства предупреждение за уебсайтове без HTTPS. По моя опит, формулярът на Куосманън се опита да събере датата, на която попълних формуляра, моя адрес, номера на кредитната ми карта, CVV, датата на валидност на кредитната си карта, моя град, държава, имейл, име, организация, телефон и пощенски код.

Формулярът дори се опита да събере някои метаданни в моя браузър, моя текущ IP адрес и др. Вижте моята екранна снимка по-долу.

Apple Safari, Google Chrome и Opera бяха уязвими по време на атака срещу Kuosmanen.

През януари 2017 г. Даниел Ведиц, главният инженер по сигурността на Mozilla, каза, че браузърите на Firefox не могат да бъдат измамени в програмно попълване на текстови полета. Потребителите на Firefox са безопасни от атаките за автоматично попълване на браузъри (поне засега), тъй като браузърът няма система за автоматично попълване на няколко кутии. Браузърът на Mozilla Firefox прави задължително потребителите да избират ръчно предварително попълнени данни за всяко текстово поле в уеб формуляр.

Заключение: изключете функцията за автоматично попълване на браузъра

Най-лесната предпазна мярка, която да предприемете срещу фишинг атаки, е да изключите функцията за автоматично попълване във вашия браузър, настройките за разширението или мениджъра на пароли. Функцията за автоматично попълване на браузъра ви е включена по подразбиране.

За да включите автоматичното попълване в Chrome:

1. Отидете в "Настройки" на браузъра.

2. Намерете "Разширени настройки" в долната част на страницата.

3. В полето "Пароли и формуляри" премахнете отметката от "Активиране на автоматичното попълване".

За да включите автоматичното попълване в Opera:

1. Отидете в "Настройки".

2. Отидете на "Автоматично попълване" и я изключете.

За да превърнете автоматично попълване в Safari:

1. Отидете на "Предпочитания".

2. Кликнете върху "Автоматично попълване", за да го изключите.

Ако сте намерили тази публикация полезна, моля, кликнете върху "Да" по-долу. Ще се радваме и да видим коментарите ви.