Privaatsurfamine on neljas suurimas brauseris tihti puudulik
Privaatbrausimine peaks lubama veebisaite külastamata sellest arvutisse jälgi jätmata, aga tihti jääb see ainult lubaduseks. Nii kinnitab nelja suurima brauseri (IE, Chrome, Firefox, Safari) testimise põhjal valminud uurimus, millest sünnib ettekanne peatsel Usenix Security Symposiumil.
Tootjad reklaamivad privaatbrausimist eelkõige avalike arvutite tõttu, mille kasutamine peletab turvalisuse üle muretsejaid. Osade tegevuste puhul netis peaks muidugi igaüks muretsema.
Üks IE, Firefoxi ja Safari puuduseid ilmneb, kui kasutajad salvestavad privaatbrausimise ajal SSL (secure sockets layer) sertifikaate. Netilehitsejad jätavad nendest märgi faili, mis võimaldab arvuti ees istujal täpselt teada, mis saiti kasutaja külastas. IE ja Safari säilitavad ise allkirjastatud sertifikaate ka pärast privaatsessiooni lõppu.
Ka Firefoxi kasutajatel jääb privaat-töörežiimis turvasertifikaate luues surfamisajaloost osalisi koopiaid cert8.db nimelisse faili.
"Avastasime, et kõik need brauserid säilitavad genereeritud võtmepaari isegi pärast privaatbrausimise lõpetamist. Kui kasutaja külastab saiti, mis genereerib SSLi võtmepaari, võivad need võtmed kohalikule ründajale saidi identiteedi paljastada," seisab uurimuses. Uudise lõpus on link kogutekstile PDF-failina.
Igal uuritud brauseril on privaattöö ajal nõrkusi. Näiteks Firefoxil siis, kui kasutaja määrab saidispetsiifilisi sätteid või kasutab Mozilla heakskiidetud pluginaid. Brauser salvestab ka saite, mis annavad HTML5 põhiseid protokollikäsitsejaid välja. 32st kõige populaarsemast JavaScripti kasutavast lisast Firefoxile jätsid pooled märke maha, kui privaatne brausimine lõpes.
IE InPrivate töörežiim osutub puudulikuks, kui saidid esitavad SMB päringuid, sest Microsofti netilehitsejal on palju ühist koodi Windows Exploreriga.
Uurimus näitab ka, kuidas veebmeistrid saavad selgeks, kas saidikülaline kasutab privaatsusrežiimi. See sisaldab unikaalse veebiaadressiga iframe'i paigaldamist ja JavaScripti kasutamist, et kontrollida, kas link sellele internetiaadressile kuvatakse purpurselt (külastatud) või siniselt (külastamata).
Uuringu autorid ei tea, et keegi teine oleks varem kirjutanud, kuidas privaattöörežiimi kasutajat ära tunda, aga see ei pruugi peagi enam tähtis olla. Tehnika paistab kasutavat kümnendivanust brauseriajaloo rünnakut, mis Safaris hiljuti korda sai. Firefox järgneb samaga peagi, ja ega Microsoft ja Google saa samuti maha jääda.
Tehnikat kasutades kinnitasid nad seda, mida ammu on kahtlustatud - privaatbrausimine läheb käiku peamiselt pornosaitidel käies.
Kuidas nii Windows kui Linux virtuaalmälu kasutavad, võib samuti privaatsurfamise sisu hiljem kättesaadavaks muuta.
Olukord on nii halb, et uurijate väitel võivad disainipuudused lubada kohalikul ründajal privaattöörežiimi eelised täiesti hävitada. Samuti eksisteerib lekkevõimalus muutmälu poole pöördumise tõttu.
