:::Гарант-Сервис ведёт общение только через ЛС Форума. Никаких Телеграм и прочих сервисов :::

СМИ Включенный режим проверки правописания может привести к утечке паролей из Chrome и Edge

Собака

АГ форума "Пробив"
♛ VIP ♛
ДИПЛОМАТ
Журналист
★Мигалки★

Собака

АГ форума "Пробив"
♛ VIP ♛
ДИПЛОМАТ
Журналист
★Мигалки★
Сообщения
622
Реакции
189
ТЕМА ЗАКРЫТА НА ПРОВЕРКУ! НЕ СОВЕРШАЙТЕ С ПОЛЬЗОВАТЕЛЕМ НИКАКИХ СДЕЛОК ДО ПРОХОЖДЕНИЯ ПРОВЕРКИ!
29 из 30 протестированных сайтов отправляли незащищенные пароли обратно в Microsoft и Google.


You must be registered for see images




Проблема была обнаружена соучредителем и главным техническим директором компании otto-js Джошем Саммитом. Во время одного из тестирований Саммит и команда ott-js выяснили, что если пользователь включит определенный набор настроек в функции расширенной проверки правописания в Edge или Chrome, то при вводе каких-либо личных данных и паролей, они в незащищенном виде будут отправляться обратно на серверы Microsoft и Google.

Также известно, что пароли могут передаваться на серверы IT-гигантов даже если пользователь просто воспользуется функцией предпросмотра пароля, так как ее затрагивает расширенная проверка правописания.

В опасности данные не только обычные пользователи, но и крупные компании, ведь данные сотрудников могут быть скомпрометированы неизвестными хакерами. Чтобы доказать это, компания привела пример.


You must be registered for see images



На первом изображении представлена страница входа в Alibaba Cloud. При входе в систему через Chrome, функция расширенной проверки орфографии без разрешения передает информацию о запросе на серверы Google. Как видно на скриншоте ниже, эта информация включает в себя пароль, который вводит сотрудник компании.


You must be registered for see images



Доступ к такой информации может привести к чему угодно: от кражи данных организации и клиентов до полной компрометации критической инфраструктуры.

Команда otto-js провела тестирование и анализ, в результате которого выяснилось, что 29 из 30 контрольных групп (социальные сети, офисные инструменты, правительственные сайты, а также сайты, предоставляющие финансовые услуги) отправляют данные на серверы Google и Microsoft. 73% протестированных сайтов отправляют пароли на сторонние серверы, если пользователь пользуется функцией предпросмотра пароля.

Компания уже связалась с Microsoft 365, Alibaba Cloud, Google Cloud, AWS, LastPass и предупредила их о возможных рисках для корпоративных клиентов. Согласно ответам AWS и LastPass, им уже удалось успешно устранить проблему.









 
Статистика форума
Темы
7,509
Сообщения
36,051
Пользователи
9,474
Новый пользователь
Kenos666
Сверху