Teie lemmikbrauseri laiendus võib olla teie paroolide varastamine

Kas mäletate seda õigekirjakontrolli brauseri laiendust, mis küsis luba kõike, mida sisestate, lugeda ja analüüsida? Küberturvalisuse eksperdid hoiatavad, et on suur tõenäosus, et mõned laiendused kuritarvitavad teie nõusolekut, et varastada teie veebibrauserisse sisestatud paroole.

Et aidata kasutajatel veebilaiendustega kaasnevaid ohte hinnata, digitaalse turvafirma Talon on analüüsinud Chrome'i veebipood, et teatada, et kümnetel tuhandetel laiendustel on juurdepääs murettekitavatele lubadele, nagu võimalus muuta kõigi külastatud saitide andmeid, alla laadida faile, juurdepääs allalaadimistegevusele ja rohkem.

"Paljud populaarsed laiendused seavad kasutajad ohtu," kaasasutaja ja tehnoloogiadirektor

Taloni küberturvalisusOhad Bobrov selgitas Lifewire'ile meili teel. "[Isegi] healoomuliste laienduste koodis või tarneahelas võib olla haavatavusi ja need võivad olla vastuvõtlikud pahatahtlike osalejate poolt ülevõtmisele."

Wayward laiendused

Talon väidab, et laiendused pakuvad oma kasutajatele suurt väärtust ja toovad veebibrauseritesse hulga kasulikke funktsioone, nagu reklaamide blokeerimine, õigekirjakontroll, paroolihaldus ja palju muud. Nende funktsioonide kasutamiseks vajavad laiendused aga laialdasi õigusi brauseri, selle käitumise ja külastatavate veebisaitide muutmiseks.

"Loomulikult võib selline kolmandatest osapooltest osapoolte kontrolli ja juurdepääsu tase tekitada kasutajatele olulisi turva- ja privaatsusohte," selgitas Talon.

Ettevõte lisab, et vaatamata Google'i kontrolliprotsessile õnnestub paljudel pahatahtlikel laiendustel lünkadest läbi lipsata ja see lõpuks kahjustada miljonid kasutajad. Selle analüüs näitas, et enam kui 60% kõigist Chrome'i veebipoe laiendustest on kasutajaandmete ja tegevuste lugemiseks või muutmiseks.

Näiteks Talon ütleb, et õigekirja- ja grammatikakontrollid nõuavad luba veebilehe kontekstist jooksvate skriptide sisestamiseks, et analüüsida kasutaja teksti. Tavaliselt teevad nad seda sisestusvälju kontrollides või kasutaja klahvivajutuste logimisega muul viisil. Ettevõte ütleb, et see võimaldab laiendustel tõhusalt koguda ja välja filtreerida veebilehel olevat teavet, sealhulgas paroolid ja muud tundlikud andmed.

Seejärel on olemas reklaamide blokeerimine, mis moodustab mõned Chrome'i veebipoe populaarseimad laiendused. See funktsioon hõlmab lehelt elementide eemaldamist ja nõuab samu õigusi nagu õigekirjakontrollid.

Samamoodi võib kasutaja ekraani ja heli jäädvustamiseks kuritarvitada ka ekraani jagamiseks ja videokonverentsilaiendusteks antud lubasid, et täita oma ettenähtud ülesandeid.

"Kaks haavatavused aastal leiti uBlocki päritolu viimastel kuudel, mis võimaldas ründajatel kasutada laienduse luba lugeda ja muuta kõikidel saitidel andmeid ning varastada tundlikku kasutajateavet,” rääkis Bobrov.

"Reklaamiblokeerijad, nagu uBlock Origin, on äärmiselt populaarsed ja neil on tavaliselt juurdepääs igale lehele, mida kasutaja külastab. Kulisside taga töötavad need kogukonna pakutavate filtriloendite abil – CSS-i valijad, mis määravad, millised elemendid blokeerida. Neid loendeid ei usaldata täielikult, seega on nende eesmärk takistada pahatahtlikud reeglid kasutajaandmete varastamist. kirjutas turvauurija Gareth Heyes, kes demonstreeris laienduse haavatavuste kasutamist paroolide varastamiseks.

Bobrov jagas ka, et 2019. aastal populaarne Suur Suspender laienduse, millel oli üle kahe miljoni kasutaja, ostis pahatahtlik tegutseja, kes kasutas selle õigusi skriptide sisestamiseks, et käitada veebilehtedel läbivaatamata kaughostitavat koodi.

"Pole teada, millised andmed välja filtreeriti," ütles ta, "kuid see võis varastada mis tahes lehelt midagi, sealhulgas paroole."

Tõelist lahendust pole

Bobrov ütleb, et Chrome ja peaaegu kõik teised juhtivad veebibrauserid töötavad selle nimel, et sellega kaasnevat turvariski ohjeldada laiendusi, mitte ainult parandades nende kontrolliprotsessi, vaid ka piirates mõningaid nende võimalusi laiendused.

Üks selline hiljutine samm, millele Bobrov juhib tähelepanu, on Google'i oma Manifest V3. Ta ütleb, et tavakasutaja jaoks tooks kõige märgatavama erinevuse Manifest V3 laiendused on kaughostitava koodi täielik keeld ja nihe selles, kuidas laiendused veebi muudavad taotlusi. Siiski lisab ta, et negatiivse poole pealt on Manifest V3 kritiseeritud reklaamiblokeerijate tugeva takistamise eest.

"Kõige olulisemad suundumused on turvalünkade kaotamine, lõppkasutajate nähtavuse ja kontrolli suurendamine (nt millised saidid lubavad laiendeid käitada) ja laiendustes ülevaatamatu koodi keelamine,“ Bobrov ütles. "Mõned neist muudatustest on hõlmatud Google'i manifestiga V3. Ükski neist muudatustest ei muuda aga dramaatiliselt laiendustele saadaolevaid õigusi.