Celah Keamanan Internet yang Eksis 23 Tahun Akhirnya Ditutup
Celah keamanan 23 tahun eksis di internet akhirnya ditutup. Celah keamanan ini bisa dieskploitasi menggunakan berbagai jenis browser atau peramban.
Nah, Google lah yang menutup celah ini di Chrome. Kerentanan ini memungkinkan situs web mengintip riwayat browsing pengguna hanya dengan membaca warna tautan (link).
Dalam desain web konvensional, tautan yang sudah dikunjungi biasanya berubah warna. Misalnya, dari biru ke ungu. Nah, ternyata fitur simpel ini selama 23 tahun bisa dimanfaatkan situs-situs nakal/bahaya untuk mengintip riwayat browsing pengguna.
Contohnya, pengguna membuka Situs A dan mengeklik link ke Situs B. Orang yang berniat jahat bisa mengecek jika warna link ke Situs B udah berubah. Artinya, orang ini pernah mengunjungi Situs B.
Ini bisa meningkatkan risiko masalah privasi, apalagi jika situs yang dikunjungi pengguna sebelumnya bersifat sensitif. Misalnya, membuka situs tentang topik kesehatan mental atau keuangan pribadi.
Tanpa disadari, celah privasi ini memungkinkan situs nakal bisa “mengintip” bahwa pengguna pernah mengunjungi link tersebut, cukup dengan melihat warnanya.
Teknik ini telah diketahui sejak awal 2000-an, ketika peneliti keamanan Andrew Clover dan tim dari Princeton mengungkap potensi penyalahgunaan lewat makalah berjudul "Timing Attacks on Web Privacy".
Kini, Google pun menambal celah privasi ini lewat pembaruan Chrome 136. Untuk saat ini, update Chrome versi 136 ini baru tersedia untuk kanal Beta.
Apa yang baru di Chrome 136?
Selama 23 tahun terakhir, Google Chrome punya celah privasi yang memungkinkan situs web mengintip riwayat browsing pengguna hanya dengan membaca warna tautan (gambar kiri). Namun, kini, Google menambal celah privasi ini lewat pembaruan Chrome 136.
Dalam blog resminya, software engineer Google, Kyra Seevers menjelaskan bahwa akar masalah dari celah privasi browser history sniffing ada pada browser cookies disebut "unpartitioned".Artinya, ketika pengguna mengklik sebuah tautan di satu situs, status "telah dikunjungi" dari tautan tersebut bisa terbaca di situs lain yang tidak ada kaitannya sama sekali.
Dengan skema ini, informasi apakah suatu tautan pernah dikunjungi tak lagi tersedia secara global antar situs, sehingga situs web tidak bisa lagi mengecek apakah pengguna pernah mengunjungi domain lain.
Dengan kata lain, riwayat browsing pengguna sekarang lebih terlindungi, dan situs-situs tak bisa asal tahu pengguna pernah berkunjung kemana saja di internet.
