El navegador de internet Safari de Apple, es capaz de restaurar sesiones de navegación previas, igual que otros muchos navegadores. Esto significa que todas las webs que estaban abiertas en la sesión anterior, incluso las que requieren autorización, pueden restaurarse siguiendo unos pasos determinados al abrir el explorador. La verdad es que esta opción es muy cómoda para el usuario, pero no es segura.

Para que el navegador tenga consciencia de qué estaba abierto en una sesión previa, la información se debe guardar en algún lugar. Evidentemente debe ser en algún sitio que no permita el acceso a cualquiera y la información debe estar codificada. El problema es que Safari no codifica las sesiones previas y las guarda en un formato de archivo plist común, de fácil acceso. Es por esto, que no sería demasiado difícil encontrar las credenciales de inicio de sesión del usuario.

Toda la sesión autorizada al completo se guarda en el archivo plist, totalmente a la vista aunque se utilizara https. El archivo en sí se encuentra en una carpeta oculta, pero cualquiera puede leerlo. El sistema puede abrir un archivo plist sin problemas. Guarda información sobre la sesión guardada – incluyendo las solicitudes http codificadas usando un simple algoritmo de codificación Base64 – en formato estructurado.

Existe una función en Safari: ‘Reabrir todas las ventanas de la última sesión’ que hace que los sitios se ab abran tal y como estaban al final de la última sesión. Es la función que utiliza LastSession.plist. La función está disponible en las siguientes versiones de Mac OS X y Safari:

##OSX10.8.5, Safari 6.0.5 (8536.30.1)
##OSX10.7.5, Safari 6.0.5 (7536.30.1)

Según expertos de Kaspersky Lab, esto podría convertirse en un gran problema, ya que los ciberdelincuentes o algún programa malicioso tuvieran acceso al archivo LastSession.plist en un sistema en el que el usuario ingresa a Facebook, Twitter, LinkedIn o su cuenta bancaria en Internet.

Realizar almacenamiento de información confidencial sin codificar y permitir el acceso a ella sin restricciones, es un gran fallo de seguridad que ofrece a los usuarios maliciosos la ocasión de robar datos de los usuarios haciendo un esfuerzo muy pequeño.

Ya se ha informado a Apple de esta falla, aunque hasta la fecha no exista ningún código malicioso que se dedique a aprovecharse de esta vulnerabilidad, pero seguro, que no tardará.