Sicherheitsupdate 1.3.3
Wir haben eine Lücke geschlossen, durch die eine Website Angaben lesen konnte, die du auf einer anderen Website maskiert hattest. Wir haben sie bei unserer eigenen Prüfung gefunden, und uns ist kein Missbrauch bekannt.
Angenommen, du hast ChatGPT heute Morgen um Hilfe bei einem Brief zur Pflege deiner Mutter gebeten. Kamelo hat ihren Namen als [PERSON_1] maskiert und den echten im Tresor auf deinem Gerät behalten.
Seit 1.3.0 wird dieser Tresor pro Website geführt. Was du auf chatgpt.com maskierst, wird nur auf chatgpt.com wiederhergestellt. Das ist das Versprechen. Dieses Update schließt einen Weg, es zu umgehen.
Was nicht stimmte
Webseiten können Frames enthalten: kleine Fenster, die eine Seite innerhalb einer Seite zeigen. Die meisten Frames haben eine eigene Webadresse. Manche nicht, etwa ein leerer about:blank-Frame oder ein srcdoc-Frame, dessen Inhalt die Seite selbst schreibt.
Kamelo hat diese Frames keiner Website zugeordnet und deshalb jede Angabe in deinem Tresor dort als erlaubt behandelt. Eine bösartige Seite konnte Platzhalter wie [PERSON_1] in einen solchen Frame setzen und die echten Werte zurücklesen.
Was wir behoben haben
Diese Frames gehören jetzt zu der Seite, in der sie stecken. Ein Frame, den Kamelo nicht zuordnen kann, bekommt nichts.
Wir haben das bei unserer eigenen Sicherheitsprüfung gefunden. Uns ist kein Missbrauch bekannt.
Was du tun solltest
Stell sicher, dass du Kamelo 1.3.3 oder neuer hast. Dein Browser aktualisiert Erweiterungen von selbst. Zum Prüfen öffne chrome://extensions (oder edge://extensions), schalte den Entwicklermodus ein und sieh dir die Version unter Kamelo an.
Wie es weitergeht
Kamelo 1.4.0 geht noch einen Schritt weiter. Websites bekommen immer nur ihren eigenen Teil des Tresors. Der vollständige Tresor und der Schlüssel eines gesperrten Tresors bleiben in Kamelo selbst, außer Reichweite jeder Website, auch einer gehackten.
Lücken finden und schließen gehört zur Arbeit, und genau deshalb ist unser Code offen. Selbst etwas gefunden? Bitte sag es uns vertraulich.
Aktualisieren, und weiter geht’s.