Fehler in Safari Tracking Prevention selbst ermöglicht Tracking der Nutzer
Apple sagte im Sommer 2017 der Nutzerverfolgung im Internet den Kampf an: Durch verschiedene Mechanismen werden Nutzer über Webseitengrenzen hinweg verfolgt, um zielgerichtete Werbung auszusteuern – oder gar ein komplettes Profil des Nutzers zu erstellen. Apple versucht das zu verhindern und nennt dieses Feature "
Intelligent Tracking Prevention". Mit jedem größeren Safari-Update verfeinerte Apple diesen Schutz. Beispielsweise ist es nicht mehr gestattet, aus Javascript heraus Cookies zu setzen, welche länger als 10 Tage Gültigkeit haben.
Google findet FehlerAusgerechnet Google, dessen Haupteinnahmequelle die zielgerichtete Aussteuerung von Werbung ist, fand in der Intelligent Tracking Prevention von Apple einem Bericht der
Financial Times nach zahlreiche Fehler. Anstatt die Fehler zur Umgehung der Tracking Prevention auszunutzen, meldete Google die Fehler im August 2019 an Apple.
Intelligent Tracking Prevention selbst gibt Informationen preisInsgesamt gibt es fünf verschiedene Angriffsvektoren – noch sind aber keine genauen Details zu den Schwachstellen durchgesickert. Es ist bislang nur bekannt, dass Angreifer es ausnutzen können und Safari im Hintergrund Informationen zu den besuchten Webseiten speichert – anscheinend lassen sich genau diese Informationen abgreifen und ausnutzen, um einen Nutzer eindeutig zu identifizieren. Auch die anderen Schwachstellen lassen sich wohl dazu ausnutzen den Nutzer über Webseitengrenzen hinweg zu tracken.
Ob die Fehler in Safari derzeit aktiv ausgenutzt werden, ist nicht bekannt. Google hält die genaue Dokumentation der Schwachstellen aktuell noch unter Verschluss. Laut einem Sicherheitsforscher, welcher Zugang zu Googles Dokumentation hatte, sind die Schwachstellen so schwerwiegend, dass diese ein komplettes Tracking ohne Nutzerinteraktion ermöglichen.
Mit Safari 13.0.4 behoben?Noch ist nicht ganz sicher, ob die Mängel in der Intelligent Tracking Prevention behoben sind oder nicht. In den Update-Notizen zu Safari 13.0.4 dankt Apple Google für die Übermittlung der Fehlerberichte – doch es wird nicht darauf eingegangen, welche spezifischen Schwachstellen Apple in dem Update beseitigte.
Update: Die Beschreibung der Sicherheitsmängel ist
nun verfügbar. Es ist nicht bekannt, ob es sich hierbei um die komplette Dokumentation handelt oder ob Google noch weitere Schwachstellen meldete. Es werden diverse Möglichkeiten aufgezeigt, wie man von einer Webseite aus beispielsweise die Einträge auf der internen Verlaufsliste abfragen kann.