Key takeaways
- De fleste udvidelser i Chrome Webshop kræver farlige tilladelser, der kan misbruges til ondsindede formål.
- Alle webbrowsere forsøger at tackle problemet med egensindige udvidelser.
- Googles Manifest V3 er en sådan løsning, der løser nogle problemer, men som ikke gør meget for at råde over de tilgængelige tilladelser til udvidelserne.
Husk du den stavekontrolbrowserudvidelse, der bad om tilladelse til at læse og analysere alt, hvad du skriver? Cybersikkerhedseksperter advarer om, at der er en stor chance for, at nogle udvidelser misbruger dit samtykke til at stjæle de adgangskoder, du slår ind i webbrowseren.
For at hjælpe brugerne med at forstå farerne ved webudvidelser har det digitale sikkerhedsfirma Talon analyseret Chrome Webshop for at rapportere, at titusindvis af udvidelser har adgang til bekymrende tilladelser, såsom muligheden for at ændre data på alle besøgte websteder, download filer, få adgang til downloadaktivitet og mere.
“Mange populære udvidelser sætter brugere i fare,” forklarede medstifter og CTO af Talon Cyber Security Ohad Bobrov til Lifewire via e-mail. "[Selv] godartede udvidelser kan have sårbarheder i deres kode eller forsyningskæde og kan være modtagelige for overtagelser fra ondsindede aktører."
Wayward Extensions
Talon argumenterer for, at udvidelser giver stor værdi for deres brugere og bringer en række nyttige funktioner til webbrowsere, såsom annonceblokering, stavekontrol, adgangskodehåndtering og mere. Men for at bringe disse funktionaliteter kræver udvidelserne brede tilladelser til at ændre browseren, dens adfærd og de besøgte websteder.
"Naturligvis kan dette niveau af kontrol og adgang fra tredjepartsaktører udgøre betydelige sikkerhedstrusler og privatlivstrusler for brugerne," forklarede Talon.
Virksomheden tilføjer, at på trods af Googles undersøgelsesproces formår mange ondsindede udvidelser at slippe igennem hullerne og ender med at påvirke millioner af brugere negativt. Dets analyse afslørede, at over 60 % af alle udvidelser i Chrome Webshop har tilladelser til at læse eller ændre brugerdata og -aktivitet.
For eksempel siger Talon, at stave- og grammatikkontrol anmoder om tilladelse til at injicere scripts, der kører fra konteksten på websiden for at analysere brugerens tekst. De gør dette norm alt ved at inspicere inputfelterne eller logge brugerens tastetryk på anden vis. Virksomheden siger, at dette effektivt giver udvidelserne mulighed for at indsamle og udslette enhver information på websiden, herunder adgangskoder og andre følsomme data.
Så er der annonceblokering, som udgør nogle af Chrome Webshops bedste udvidelser. Denne funktionalitet involverer fjernelse af elementer fra siden og kræver de samme tilladelser som stavekontrol.
Det er uvist, hvilke data der blev eksfiltreret, men det kunne potentielt have stjålet hvad som helst fra enhver side, inklusive adgangskoder.
På samme måde kan tilladelserne til skærmdeling og videokonferenceudvidelser til at udføre deres tilsigtede opgave også misbruges til at fange brugerens skærm og lyd.
"To sårbarheder blev fundet i uBlock Origin i de sidste par måneder, hvilket gjorde det muligt for angribere at udnytte udvidelsens tilladelse til at læse og ændre data på alle websteder og til at stjæle følsomme brugeroplysninger," fort alte Bobrov os.
"Annonceblokkere som uBlock Origin er ekstremt populære og har typisk adgang til hver side, en bruger besøger. Bag kulisserne er de drevet af fællesskabsleverede filterlister - CSS-vælgere, der dikterer, hvilke elementer der skal blokeres. Disse lister er ikke helt tillid til, så de er begrænset til at forhindre ondsindede regler i at stjæle brugerdata," skrev sikkerhedsforsker Gareth Heyes, da han demonstrerede at bruge sårbarheder i udvidelsen til at stjæle adgangskoder.
Bobrov delte også, at den populære The Great Suspender-udvidelse, som havde over to millioner brugere, i 2019 blev købt af en ondsindet skuespiller, som fortsatte med at udnytte sine tilladelser til at injicere scripts til at køre ugennemgået, fjernhostet kode på websider.
"Det er uvist, hvilke data der blev eksfiltreret," sagde han, "men det kunne potentielt have stjålet hvad som helst fra enhver side, inklusive adgangskoder."
Ingen rigtig løsning
Bobrov siger, at Chrome og stort set alle andre førende webbrowsere arbejder på at begrænse den sikkerhedsrisiko, som udvidelser udgør, ikke blot ved at forbedre deres kontrolproces, men også ved at begrænse nogle af udvidelsernes muligheder.
Et sådant nyligt trin, Bobrov påpeger, er Googles Manifest V3. Han siger, at for den gennemsnitlige bruger er den mest bemærkelsesværdige forskel, Manifest V3 ville medføre for udvidelser, et fuldstændigt forbud mod fjernhostet kode og et skift i den måde, udvidelser ændrer webanmodninger på. Han tilføjer dog, at på minussiden er Manifest V3 blevet kritiseret for alvorligt at hæmme annonceblokkere.
"De mest markante tendenser er at lukke sikkerhedshuller, øge slutbrugerens synlighed og kontrol (f.eks. hvilke websteder der tillader udvidelser at køre) og at forbyde ugennemgåelig kode fra udvidelser," sagde Bobrov. "Nogle af disse ændringer er omfattet af Googles Manifest V3. Ingen af disse ændringer ændrer dog dramatisk de tilgængelige tilladelser til udvidelser."
