Safari-update 10.1.1 voorkomt adresbalk-spoofing

Je denkt dat je de website van je bank bezoekt, maar in werkelijkheid zit je in te loggen op een Russische site. Terwijl er nog zo geloofwaardig ing.nl, rabobank.nl of abnamro.nl in de adresbalk staat, voorzien van hangslotje en https. Met de zojuist verschenen update Safari 10.1.1 voor de Mac kan dat minder vaak voorkomen. Apple heeft namelijk beveiligingsmaatregelen genomen waardoor adresbalk-spoofing minder vaak voorkomt. Ook in iOS 10.3.2, dat eerder vanavond verscheen, zijn maatregelen genomen waardoor je minder snel op een kwaadaardige site terechtkomt.

Wat opvalt is dat er in iOS 10.3.2, macOS Sierra 10.12.5, watchOS 3.2.2 en tvOS 10.2.1 behoorlijk wat beveiligingsproblemen zijn opgelost. Daardoor is het de moeite om ze snel te installeren, ook al zitten er eigenlijk geen nieuwe functies in. Bovendien verschenen er nieuwe versies van iTunes voor Mac en Windows.

Safari 10.1.1 voor Mac

Safari 10.1.1 is verschenen voor macOS Sierra 10.12.5, OS X Yosemite 10.10.5 en OS X El Capitan 10.11.6, zodat ook mensen met een wat oudere versie weer wat veiliger zijn. Adresbalk-spoofing houdt in dat een kwaadwillende je naar een nagemaakte site leidt. Normaal kun je dat wel herkennen aan de URL, die nét even anders is dan gebruikelijk (denk aan: rabobak.nl of abnarmo.nl, maar er zijn ook creatievere varianten). Bij phishing-aanvallen wordt hiervan vaak gebruik gemaakt: met een op het eerste gezicht geloofwaardig e-mailtje word je in de verleiding gebracht om op een linkje te klikken en zogenaamd bij je eigen bank in te loggen. In plaats daarvan kom je op een heel andere site terecht.

Volgens de lijst met beveiligingsupdates van Apple is dat nu opgelost, al omschrijven ze het in verhuld taalgebruik: “An inconsistent user interface issue was addressed with improved state management”. De Chinese beveiligingsonderzoeker Xudong Zheng demonstreerde eerder al hoe een kwaadaardige website je voor de gek kan houden, zelfs als je een ervaren internetter bent. Een nagemaakte Apple-website ziet er bijvoorbeeld zo uit in de adresbalk:

Apple geeft twee andere Chinezen de credits voor de ontdekking, namelijk Zhiyang Zeng en Yuyang Zhou van het Tencent Security Platform Department. Safari 10.1.1 lost ook een probleem op met het geschiedenismenu, waardoor een denial of service kan ontstaan na het bezoeken van een kwaadaardige website. Daarnaast zijn er zeven kwetsbaarheden met WebKit opgelost, waarvan vijf te maken hebben met cross site scripting.

Om jezelf te beschermen tegen adresbalk-spoofing kun je het beste handmatig de URL van je favoriete websites intikken of een website openen vanuit de bookmarks. Klikken vanuit e-mails is een slecht idee, hoe geloofwaardig ze er ook uitzien.