Browser "Sekretesslägen" inte så privata efter alla

Alla större webbläsare har ett sekretessläge som ska täcka en användares spår efter att han eller hon avslutar en Internet-session, men en trio av forskare har funnit dessa lägen misslyckas med att rensa alla spår av en Net surfers verksamhet.

Mozilla Firefox har till exempel något som kallas ett "anpassat hanteringsprotokoll" som skapar webbadresser som hänger sig även efter att en användare lämnar sekretessläge.

Artwork: Peter och Maria HoeySecure-certifikat kan också användas för att motverka syftet av sekretesslägen. Firefox, Internet Explorer och Safari stöder alla användningen av SSL-klientcertifikat. En webbplats, via JavaScript, kan instruera en webbläsare att generera ett SSL-klient offentligt / privat nyckelpar. Det nyckelparet behålls av webbläsaren även efter att sekretessessionen slutar. Dessutom, om en webbplats använder ett självtecknat certifikat, lagras IE och Safari lokalt i ett Microsoft-certifikatvalv och det förblir där när sekretessessionen slutar. Så, alla som vet var de ska leta efter kan hitta den och få en glimt av användarnas Internetresor.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Internet Explorer slår också en användares skydd i privatlivet läge när det initierar SMB-förfrågningar med en webbserver. "Även om användaren står bakom en proxy, rensar webbläsarstaten, och använder InPrivate, SMB-anslutningar identifierar användaren till fjärrplatsen," forskarna - Gaurav Aggarwal och Dan Boneh, Stanford University och Colin Jackson, av Carnegie Mellon University - skrev i ett dokument som planeras att presenteras nästa vecka vid Usenix Security Symposium i Washington, DC

Men trio fann att SMB-felet kan vara försumbar eftersom många Internetleverantörer filtrerar SMB-port 445.

De höjde också en röd flagga om möjligheten för webbläsartillägg för att undergräva sekretesslägen. "Tillägg till webbläsare (tillägg och plugin-moduler) utgör en integritetsrisk för privat surfning eftersom de kan bestå av att de är kvar på disken om användarens beteende i privatläge," forskarna skrev.

"Utvecklarna av dessa tillägg kanske inte har övervägt privata bläddringslägen när man utformar programvaran och deras källkod är inte utsatt för samma noggranna granskning som webbläsare utsätts för, "tillade de.

Forskarna upptäckte också ett sätt för webbansvariga att avgöra om en användare var åtkomst till deras webbplats i privatlivsläge. De erkände emellertid att tekniken som de använde utnyttjade en attack som redan hade åtgärdats i Safari, skulle snart stängas av i Firefox och förväntades bli stängt snart i IE och Chrome.

Bottenlinjen från Trioens forskning: Gör inget i privatlivsläge som du inte skulle göra med din chef som tittar över din axel.