Um novo bug do Chrome permite que sites gravem na área de transferência sem perguntar. Confira os detalhes desse problema.
A versão 104 do Chrome introduziu acidentalmente um bug que remove o requisito do usuário de aprovar eventos de gravação na área de transferência dos sites que visitam.
Bug do Chrome permite que sites gravem na área de transferência sem perguntar
Essa funcionalidade não se limita ao Google Chrome. O Safari e o Firefox também permitem que as páginas da web gravem na área de transferência do sistema, mas possuem proteções baseadas em gestos.
Os desenvolvedores do Chrome identificaram o problema, mas uma correção ainda está por vir, por isso persiste nas versões atuais do navegador Google Chrome para celular e desktop.
A área de transferência do sistema é um local de armazenamento temporário em sistemas operacionais. Normalmente é usado para copiar e colar e pode envolver informações confidenciais, como números de contas bancárias, sequências de carteiras de criptomoedas ou senhas.
A substituição desse espaço de armazenamento temporário por conteúdo arbitrário coloca os usuários em risco, pois podem se tornar vítimas de atividades maliciosas.
Os agentes de ameaças podem atrair usuários para sites especialmente criados, representando um serviço legítimo de criptomoeda.
Quando o usuário tenta fazer um pagamento e copia o endereço da carteira para a área de transferência, o site pode gravar na área de transferência o endereço do agente da ameaça.
Em alguns sites, quando o usuário seleciona o texto para copiar de uma página da Web, o conteúdo adicional é anexado à área de transferência (normalmente o URL da página).
Nesse caso, porém, a área de transferência se enche de conteúdo arbitrário sem qualquer indicação visível ou interação do usuário.
O desenvolvedor Jeff Johnson destaca em uma postagem de blog que explora o tópico, todos os navegadores da Web que suportam a gravação da área de transferência têm proteções ruins e inadequadas.
Os gestos do usuário que dão permissão a uma página da Web para usar a API da área de transferência incluem o atalho de teclado para copiar conteúdo (Ctrl+C), mas em muitos casos, apenas qualquer interação com o site é suficiente.
Johnson testou no Safari e no Firefox e descobriu que pressionar a tecla de seta para baixo ou usar a roda de rolagem do mouse para navegar em um site dava permissão de gravação na área de transferência para a página da web carregada.
Considerando o quão comuns são essas ações, essa permissão é suficientemente arriscada para merecer uma correção.
“Enquanto você está navegando em uma página da web, a página pode, sem o seu conhecimento, apagar o conteúdo atual da área de transferência do sistema, que pode ter sido valioso para você, e substituí-lo por qualquer coisa que a página queira, o que pode ser perigoso para você. na próxima vez que você colar. Por que os fornecedores de navegadores permitiram isso?.”
Felizmente, os testes de Johnson confirmaram que os sites não podiam abusar dessa permissão para ler o conteúdo da área de transferência, o que prejudicaria a privacidade do usuário.
Para determinar se esse problema afeta seu navegador da Web, você pode visitar “webplatform.news” e “colar” o conteúdo da área de transferência em um aplicativo de texto, como o Bloco de Notas do Windows.
Se você vir a mensagem a seguir, seu navegador está vulnerável a abuso de permissão.
Felizmente, nem todos os navegadores baseados em Chromium são afetados por esse problema. Nos testes, o Brave não deu permissão ao site de testes para substituir a área de transferência.
No entanto, a caixa de teste incorporada de Johnson que preenche a área de transferência do visitante com ações de navegação no site funcionou em todos os navegadores, portanto, a causa da discrepância não é clara.
Johnson diz que os usuários excessivamente preocupados com esse problema podem usar sua extensão ‘StopTheMadness‘, mas avisa que eles ainda não estarão 100% protegidos contra substituições arbitrárias da área de transferência em todas as circunstâncias.