据外媒 SlashGear 报道，近日隐私问题让 Facebook 处于风口浪尖。然而，有时候，这可能不完全是 Facebook 的错。最近的一篇报道指出，固有漏洞允许恶意的第三方网站收集 Facebook 信息，如用户的个人资料图片和名字等。讽刺的是，这个漏洞来自于 2016 年推出的一个标准 Web 功能。
这就是所谓的旁路攻击（Side Channel Attacks），因为它不是由软件本身的缺陷造成的，而是由它运行的系统造成的。在这个案例中，该漏洞归因于 2016 年 CSS 层叠样式表 (Cascading Style Sheets) 标准中引入的一项新功能。该功能称为“mix-blend-mode”混合模式，通过 iframe 将 Facebook 页面嵌入到第三方时候，可以泄露可视内容（从技术角度来说就是像素）。
通常情况下，这不应该是因为网页浏览器实施的同源策略。当然，如果是这样的话，那么这个漏洞首先就不存在了。该漏洞不会直接从 Facebook 配置文件中提取图像或文本。相反，它分析每个像素，并在文本情况下使用光学字符识别来提取有意义的单词，如姓名或帖子。这可能看起来像很多工作，但实际上只需要 20 秒钟就能完成。
据 Ars Technica 报道，安全研究人员 DarioWeißer 和 Ruslan Habalov 披露了 Google 和 Firefox 的漏洞，Google 已经修复了浏览器以阻止未来的尝试。但是，尽管如此，2016 年至 2017 年年末仍有许多人不受保护。研究人员报告称，由于原因尚不清楚，苹果的 Safari 浏览器、 微软 Internet Explorer 和 Edge 浏览器也未受影响，因为它们甚至没有实现标准“mix-blend-mode”模式功能。
没有评论:
发表评论