Tarayıcılardaki Otomatik Doldurma Özelliğinde Güvenlik Açığı

 Tıpkı çoğumuz gibi, özellikle de mobil cihazlarda web formlarını doldurmaktan nefret ediyoruz.

Bu işlemi hızlandırmaya yardımcı olmak için Google Chrome ve diğer büyük tarayıcılar, daha önce benzer alanlara girmiş olduğunuz verilere dayalı olarak web formunu otomatik olarak dolduran “Otomatik Doldur” özelliğini sunar.

Bununla birlikte, bir saldırganın bu otomatik doldurma özelliğini kendinize karşı kullanması ve sizi kandırarak hackerlara veya kötü niyetli üçüncü taraflara bilgilerinizin gönderilmesine neden oluyor.

Finlandiya web geliştiricisi Viljami Kuosmanen, bir saldırganın çoğu tarayıcı, eklenti ve Parola Yöneticileri gibi araçların sağladığı otomatik doldurma özelliğinden nasıl yararlanabileceğini gösteren bir Demo yayınladı.

Her ne kadar bu hile 2013 yılında ElevenPaths’de Güvenlik Analisti Ricardo Martin Rodriguez tarafından keşfedilmiş olsa da, Google, Otomatik Doldurma özelliğindeki zayıflıkları gidermek için Google’ın herhangi bir şey yapmadığı görülüyor.

Kavramı kanıtlama demo web sitesi sadece iki alana sahip basit bir çevrimiçi web formundan oluşur: İsim ve E-posta. Ancak görülemeyen pek çok şey, telefon numarası, organizasyon, adres, posta kodu, şehir ve ülke gibi gizli alanlardır.

Dolayısıyla, tarayıcılarında yapılandırılmış bir otomatik doldurma profiline sahip kullanıcılar bu basit formu doldurup gönder düğmesine tıklarsa, gizli oldukları ancak sayfada bulunan sekiz alanın da erişebileceğini bilmeden tüm alanları gönderirler.

Kuosmanen’in PoC sitesini kullanarak tarayıcınızı ve otomatik doldurma özelliğini de test edebilirsiniz.

Kullanıcının adresini, kredi kartı numarasını, son kullanma tarihini ve CVV’yi içeren daha fazla kişisel alan ekleyerek bu saldırıyı daha da kötüleştirebilir; ancak otomatik doldurma finansal veri formları, sitelerde HTTPS yoksa Chrome uyarıda bulunur.

Kuosmanen saldırısı, Google Chrome, Apple Safari, Opera ve hatta popüler bulut güvenlik kasası LastPass gibi çeşitli büyük tarayıcılara ve otomatik doldurma araçlarına karşı çalışır.

Mozilla Firefox tarayıcısını kullanıyorsanız bu saldırılardan endişelenmenize gerek yoktur. Şu an için çok kutu otomatik doldurma sistemine sahip değildir ve kullanıcıların her bir kutu için manuel olarak önceden doldurma veri seçmeleri gerekmektedir.

Otomatik Doldurma Özellikini Nasıl Kapatabilirsiniz?

Bu gibi kimlik avı saldırılarına karşı kendinizi korumanın en basit yolu tarayıcınızdaki form doldurma özelliğini, şifre yöneticisini veya eklenti ayarlarınızı devre dışı bırakmaktır.

Otomatik Doldurma özelliği varsayılan olarak açıktır. Chrome’da bu özelliği nasıl kapatacağınız aşağıda açıklanmıştır:

Ayarlar’ın alt kısmındaki Gelişmiş Ayarları Göster’e gidin ve Parolalar ve Formlar bölümünün altındaki Otomatik Doldurma kutusunun etkinleştirilmesinin işaretini kaldırın.

Opera’da Ayarlar → Gizlilik ve Güvenlik → Otomatik Doldurma bölümüne gidin ve kapatın.

Safari’de Tercihler’e gidin ve kapatmak için Otomatik Doldur’a tıklayın ve kapatın.