Safari_windroos Apples standaardbrowser Safari sluist onbedoeld informatie uit het adresboek van de eigenaar naar de database van een website-exploitant, wanneer deze daarom vraagt. Het is een gevolg van Apples strategie om het invullen van webformulieren zo makkelijk mogelijk te maken.

Apple heeft de Safari-software zo ingericht dat webformulieren standaard volledig worden aangevuld zodra iemand begint met het invullen van een formulier. Veel browsers hebben methoden om het invullen te vergemakkelijken. Zo presenteren zij vaak een 'drop down'-lijstje met eerder ingevulde waarden wanneer de eerste letter in een veld wordt gezet. Apple gaat met Safari een stap verder door de tekst direct in het veld te plaatsen. De software gebruikt daarbij het adresboek op de computer als bron, in plaats van de browsercache.

Het is mogelijk een website op te zetten met een verborgen formulier dat met een script automatisch wordt ingevuld en zo ongemerkt informatie uit het adresboek van de Safari-gebruiker haalt, zegt Jeremiah Grossman, technisch directeur van WhiteHat Security in een blog. Hij heeft het probleem vorige maand bij Apple gemeld. Er zijn nog geen aanwijzingen dat deze mogelijkheid is misbruikt, maar er is wel een proof-of-concept.

Apple zegt zich bewust te zijn van dit probleem en te werken aan een oplossing. "Wij nemen beveiliging en privacy zeer serieus", zegt Apple in een verklaring. Safari heeft een marktaandeel van circa 4 procent. Safari-gebruikers kunnen het probleem omzeilen door Autofill uit te schakelen.

(bron: Automatisering Gids)