Beveiligingsupdate 1.3.3
We hebben een gat gedicht waardoor een website gegevens kon lezen die je op een andere site had afgeschermd. We vonden het in onze eigen controle en er is geen misbruik bekend.
Stel, je vroeg ChatGPT vanochtend om hulp bij een brief over de zorg voor je moeder. Kamelo schermde haar naam af als [PERSON_1] en bewaarde de echte naam in de kluis op je apparaat.
Sinds 1.3.0 wordt die kluis per site bijgehouden. Wat je op chatgpt.com afschermt, wordt alleen op chatgpt.com teruggezet. Dat is de belofte. Deze update dicht een manier om daaromheen te komen.
Wat er mis was
Webpagina’s kunnen frames bevatten: kleine vensters die een pagina binnen een pagina tonen. De meeste frames hebben een eigen webadres. Sommige niet, zoals een leeg about:blank-frame, of een srcdoc-frame waarvan de pagina de inhoud zelf schrijft.
Kamelo koppelde die frames aan geen enkele site, en behandelde dus elk gegeven in je kluis daar als toegestaan. Een kwaadwillende pagina kon plaatshouders zoals [PERSON_1] in zo’n frame zetten en de echte waarden teruglezen.
Wat we hebben opgelost
Die frames horen nu bij de pagina eromheen. Een frame dat Kamelo niet kan plaatsen, krijgt niets.
We vonden dit in onze eigen beveiligingscontrole. Er is geen misbruik bekend.
Wat je moet doen
Zorg dat je Kamelo 1.3.3 of nieuwer hebt. Je browser werkt extensies zelf bij. Controleren? Open chrome://extensions (of edge://extensions), zet de ontwikkelaarsmodus aan en kijk naar de versie onder Kamelo.
Wat er nu komt
Kamelo 1.4.0 gaat een stap verder. Websites krijgen altijd alleen hun eigen deel van de kluis. De volledige kluis, en de sleutel van een vergrendelde kluis, blijven binnen Kamelo zelf, buiten bereik van elke website, ook een gehackte.
Gaten vinden en dichten hoort bij het werk, en daarom is onze code openbaar. Zelf iets gevonden? Laat het ons vertrouwelijk weten.
Bijwerken, en verder.