System autouzupełniania pól i formularzy w przeglądarkach okazał się bardzo wygodny dla użytkowników, którzy są zmęczeni pisaniem tego samego w kółko. Jednak autouzupełnianie może stać się zagrożeniem bezpieczeństwa, jeśli nie zostanie właściwie zaimplementowane. Programista Viljami Kuosmanen odkrył, że profile autouzupełniania w Operze, Chrome i Safari ujawniają swoją pełną zawartość przy każdym uruchomieniu, a atakujący potrzebuje jedynie stworzyć ukryte pola na stronie internetowej, aby wyciągnąć resztę danych.
Wypełnianie formularzy jest… nużące, tak. Nie ma sensu temu zaprzeczać. Niektórzy użytkownicy muszą to robić codziennie, a frustracja się kumuluje. Ale funkcje autouzupełniania i przewidywania tekstu przychodzą z pomocą. Imię, nazwisko, data urodzenia, adres fizyczny, adres e-mail, numer telefonu… za pomocą kilku kliknięć lub skrótu klawiaturowego wszystkie te pola wypełniają się automatycznie. Bez wątpienia autouzupełnianie nie zniknie… ale jak bezpieczna jest jego implementacja? W końcu w profilach znajdują się dane osobowe. Według fińskiego programisty Viljami Kuosmanena autouzupełnianie pozostawia wiele do życzenia, a on stworzył prostą stronę, aby to udowodnić.
Demonstracja ataku
Strona ma zaledwie dwa pola: imię i adres e-mail. Pomysł jest taki, aby użytkownik systemów autouzupełniania w Operze, Safari i Chrome użył swoich automatycznych profili do wypełnienia danych i kliknął „Wyślij”. Ale to, co jest pokazywane dalej, to dane, dla których początkowo nie było pól. Co się stało? W istocie strona zawiera ukryte pola, które profile autouzupełniania i tak wypełniają, bez wiedzy użytkownika. Ten „trik” działa również z niektórymi rozszerzeniami obsługującymi autouzupełnianie (np. LastPass).
Zalecane jest unikanie systemu autouzupełniania, dopóki twórcy dotkniętych przeglądarek nie wprowadzą rozwiązania uniemożliwiającego profilom wypełnianie ukrytych pól, lub przynajmniej korzystanie z niego tylko na zaufanych portalach. Jedyną przeglądarką „odporną”, że tak to ujmę, jest Firefox, ponieważ obsługuje autouzupełnianie tylko pole po polu (chociaż firma potwierdziła bardziej rozbudowane autouzupełnianie w przyszłych wersjach).
