גלישה (לא כל כך) פרטית עם מיקרוסופט אדג'

This post is also available in: English (אנגלית)

במהלך הקיץ האחרון העביר אינטרנט אקספלורר את השרביט לדפדפן מיקרוסופט אדג' החדש והנוצץ, וכולם שמחו עד מאוד. דפדפן האקספלורר המזדקן, אשר היה מלא בפגיעויות אבטחה, ממשק מסורבל, וטכנולוגיות מיושנות, נודע כבר מזמן בקרב הקהילה הטכנולוגית כמקור לכאבי ראש וסיוט אבטחה.

דפדפן אדג' יצא לשוק עם רשימה ארוכה של מאפיינים להם כולם ציפו, ביניהם מיקרוסופט קורטנה, ומאפיינים נוספים אשר הפכו כבר כמעט לסטנדרט כמו רשימת קריאה או מצב דפדוף פרטי בשם InPrivate.

לרוע המזל, נראה כי מאפיין הפרטיות החדש אולי לא פרטי כל כך אחרי הכל. על פי מחקר שנעשה על ידי מומחה האבטחה אשיש סינג, שחזור אתרים אשר ביקר בהם המשתמש במצב InPrivate מהכונן הקשיח שלו הוא עניין כמעט טריביאלי. כל מה שיש לעשות זה לבחון את קובץ ה- WebCache ממנו יכול פורץ לבנות מחדש את כל היסטוריית הגלישה של המשתמש. "הגלישה הלא-כל-כך-פרטית בדפדפן אדג' גורמת למטרה עצמה בו להיראות כמו כישלון," כתב סינג באתר Forensic Focus.

הבעיה הזו אינה ייחודית לדפדפן אדג', שכן עוד בשנת 2010 הדגימו חוקרים באוניברסיטת סטנפורד כיצד דפדפני פיירפוקס, ספארי, כרום, ואינטרנט אקספלורר פגיעים כולם למתקפות מקומיות. לסלי קרהארט, מומחית לזיהוי פלילי דיגיטלי, אומרת כי זוהי בעיה רווחת, שכן מצבי פרטיות אינם בנויים בדרך כלל על מנת להגן מתוקפים בעלי גישה פיזית לכונן הקשיח של המשתמש. "גלישה פרטית תמיד השאירה אחריה פריטים ניתנים לשחזור על הכונן או בזיכרון," אמרה קרהארט. "זה תמיד היה עניין של פרטיות, לא של אבטחה."

מה שמבחין את המקרה המסוים הזה מהאחרים היא הקלות בה ניתן לבצע מתקפה. מתקפות קודמות הסתמכו על עקבות מעורפלים, דוגמת השלמה אוטומטית של כתובת URL או הרשאות. העובדה שכל היסטוריית הגלישה של המשתמש זמינה לחלוטין בקובץ WebCache הופכת את המתקפה כאן לקלה במיוחד להוצאה לפועל, והרבה יותר פשוטה גם לאדם בעל ידע בסיסי בלבד.

“לאחרונה התוודענו לדו"ח אשר טוען שתגיות InPrivate אינן עובדות כפי שתוכנתו לעבוד," אמר דובר מטעם מיקרוסופט לאתר The Verge כאשר פנו אליו לצורך תגובה, "ואנחנו מחויבים לפתור זאת מוקדם ככל האפשר."