Ctrl F ile Parolanız Okunabilir mi Chromium Tarayıcılarda hidden until found Detayı Güvenlik Alarmı Veriyor

Chromium tabanlı tarayıcılarda erişilebilirlik ve kullanıcı deneyimi amacıyla geliştirilen hidden="until-found" niteliğinin, sayfa içi arama sırasında beklenmedik bir yan kanal güvenlik riski oluşturabildiği ortaya kondu. Uzman analizlere göre, kullanıcıların Ctrl+F ile yaptığı aramaların tamamen istemci tarafında ve web sayfası tarafından gözlemlenemez olduğu yönündeki yaygın varsayım bu özellikle birlikte geçerliliğini yitiriyor.

Ctrl F Yapıldığında DOM Sessiz Kalmıyor
hidden="until-found" ile gizlenen içerikler normal şartlarda görünmez durumda kalıyor. Ancak sayfa içi arama sırasında eşleşme oluştuğunda, tarayıcı bu elementleri geçici olarak görünür hâle getiriyor. Bu aşamada tetiklenen beforematch adlı DOM olayı, JavaScript tarafından dinlenebiliyor ve kullanıcı aramasına dair dolaylı bilgiler üretebiliyor.

Karakter Karakter Çözümlenebilen Arama
Teknik incelemede, sayfaya eklenen binlerce gizli HTML elementinin olası karakter dizilerini temsil ettiği belirtiliyor. Kullanıcı Ctrl+F alanına bir karakter yazdığında, yalnızca eşleşen element için beforematch olayı tetikleniyor. Bu zincirleme yapı sayesinde, klavye dinlemesi yapılmadan kullanıcının arama girdisinin adım adım tahmin edilebildiği ifade ediliyor. Bu yöntem, klasik anlamda bir side‑channel olarak tanımlanıyor.

Parola Sızıntı Siteleri İçin Kritik Senaryo
Uzmanlar, bu tekniğin özellikle “parolanız sızdırıldı mı” iddiasıyla hizmet veren siteler açısından ciddi bir risk barındırdığına dikkat çekiyor. Kullanıcının mevcut parolasını bu tür sitelere yazması hâlinde, sayfa içinde yer alan hidden="until-found" elementleri aracılığıyla parolanın kısmen bile olsa sızdırılabilmesi teorik olarak mümkün görülüyor. Bu durum, kullanıcı parolayı kendi rızasıyla girmiş olsa bile ek bir gizlilik tehdidi oluşturuyor.

Teknik Çalışmanın Kaynağı ve Türkçe Yayın
Söz konusu riskin pratikte nasıl çalıştığı, uluslararası güvenlik araştırmaları kapsamında daha önce ortaya konulan teknik bir yöntem üzerinden gösteriliyor. Bu çalışmayı derleyerek Türkçeleştiren ve kamuoyuna haberleştiren isim ise siber güvenlik araştırmacısı Ebubekir Bastama oldu. Bastama’nın internet sitesinde yayımlanan içerikte, hidden="until-found" ve beforematch kombinasyonunun Ctrl+F girdilerini nasıl dolaylı biçimde açığa çıkarabildiği ayrıntılı şekilde aktarılıyor.

Test Edilebilen PoC Adresi
Yayımlanan çalışmada, yöntemin teorik anlatımla sınırlı kalmadığına dikkat çekiliyor. Kullanıcılar ve geliştiriciler, ilgili davranışı doğrudan test edebilmek için hazırlanan PoC’ye şu adres üzerinden erişebiliyor: https://ebubekirbastama.com.tr/ctrl-f-until-found-side-channel-poc.html

Boşluklar Bile Atlanmıyor
Analizde, Ctrl+F indekslemesinde boşluk karakterlerinin tek başına algılanmaması nedeniyle Zero‑Width Space (\u200B) gibi görünmez karakterlerin kullanıldığı aktarılıyor. Bu sayede, boşluk içeren kelime ve parola dizilerinin de tarayıcı tarafından indekslenebildiği belirtiliyor.

Hızlı Yazımda Özellikle PC’lerde Çalışmıyor
Çalışmada özellikle masaüstü bilgisayarlara vurgu yapılıyor. Ctrl+F alanına karakterlerin çok hızlı yazılması veya metnin yapıştırılması durumunda, tarayıcıların performans optimizasyonları nedeniyle bazı DOM taramalarını atladığı belirtiliyor. Bu senaryolarda beforematch olayının tetiklenmediği ve algılamanın çalışmadığı ifade ediliyor. Uzmanlar, bunun JavaScript kaynaklı bir hata değil, bilinçli bir tarayıcı davranışı olduğunun altını çiziyor.

Tarayıcı Güvenliği Yeniden Gündemde
Uzman görüşlerinde, beforematch olayının JavaScript erişimine kapatılması, hidden="until-found" elementlerinin gözlemlenemez hâle getirilmesi ya da Ctrl+F indekslemesinin DOM olayı üretmeden çalışması gibi önlemlerin değerlendirilmesi gerektiği belirtiliyor. Kullanıcı deneyimi için eklenen her yeni tarayıcı özelliğinin, gizlilik ve veri güvenliği açısından yeniden ele alınması gerektiği vurgulanıyor.

Ajans Expres Gazetesi