Il sistema per autocompletare campi e moduli nei browser si è dimostrato molto comodo per quegli utenti che sono stanchi di riscrivere sempre le stesse cose. Ma l'autocompletamento può diventare un rischio per la sicurezza se non viene implementato correttamente. Lo sviluppatore Viljami Kuosmanen ha scoperto che i profili di autocompletamento in Opera, Chrome e Safari pubblicano il loro contenuto completo ogni volta che vengono attivati, e tutto ciò di cui un attaccante ha bisogno è creare campi nascosti in una pagina web per estrarre il resto dei dati.
Compilare moduli è… noioso, sì. Non ha senso negarlo. Alcuni utenti devono farlo ogni giorno, e la frustrazione si accumula. Ma le funzioni di autocompletamento e predizione del testo vengono in soccorso. Nome, cognome, data di nascita, indirizzo fisico, indirizzo email, numero di telefono… con un paio di clic o una scorciatoia da tastiera, tutti questi campi vengono compilati automaticamente. Senza dubbio, l'autocompletamento non andrà da nessuna parte… ma quanto è sicura la sua implementazione? Dopotutto, ci sono dati personali nei suoi profili. Secondo lo sviluppatore finlandese Viljami Kuosmanen, l'autocompletamento lascia molto a desiderare, e ha creato una semplice pagina per dimostrarlo.
La prova pratica
La pagina ha solo due campi, nome e indirizzo email. L'idea è che un utente dei sistemi di autocompletamento in Opera, Safari e Chrome usi i propri profili automatici per compilare i dati e prema "Submit". Ma ciò che viene mostrato dopo sono dati per i quali non c'erano campi in primo luogo.
Cosa è successo? In sostanza, la pagina contiene campi nascosti che i profili di autocompletamento compilano comunque, senza che l'utente se ne accorga. Questo "trucco" funziona anche con alcune estensioni che supportano l'autocompletamento (come ad esempio LastPass).
Come proteggersi
La raccomandazione è di evitare il sistema di autocompletamento finché gli sviluppatori dei browser interessati non introducono una soluzione per impedire che i profili compilino campi nascosti, oppure di usarlo solo su portali di fiducia. L'unico browser "immune" per così dire è Firefox, poiché supporta solo l'autocompletamento campo per campo (anche se l'azienda ha confermato un autocompletamento più elaborato per versioni future).
