Apple herstelt lek Safari niet

In de Safaribrowser zit nu al twee jaar een beveiligingslek waar Apple niets aan wil doen. De reden daarvoor is dat de browser zo gebruiksvriendelijker blijft.

Het lek werd in 2008 al ontdekt door beveiligingsspecialist Nitesh Dhanjani. Die bracht Apple ervan op de hoogte dat Safari geen bevestiging voor downloads vraagt. Daardoor is de browser vatbaar voor een ‘bommentapijtaanval’.

Dat is een aanval waarbij een website zo wordt ontwikkeld dat hij honderden bestanden op iemands computer zet. Apple verklaart dat zulke aanvallen hooguit vervelend kunnen zijn en dus zeker geen gevaar vormen.

Gevaarlijk op Windows
Toch werd in die periode ontdekt dat het lek in samenwerking met Internet Explorer wel degelijk een risico vormde. Apple bracht toen onder veel druk van Microsoft een update voor Windows uit, maar liet Safari voor OS X onaangeroerd.

Apples motivatie om het lek te laten zitten, luidt als volgt: "Een bommentapijtaanval is vervelend, maar een browser die bij elke downloadopdracht bevestiging vraagt is dat evengoed."

Programma’s openen
Sinds het eerder gedichte lek in Safari voor Windows zijn er evenwel geen nieuwe risico’s ontdekt. Toch waarschuwt Dhanjani voor nog onbekende aanvallen die het lek mogelijk maakt.

In onderstaand filmpje zie je hoe Safari zomaar programma’s opent omdat hij ook daarvoor geen toestemming vraagt. Dat gebeurt op dezelfde manier als een bommentapijtaanval.