Key takeaways
- Et flertall av utvidelsene på Chrome Nettmarked krever farlige tillatelser som kan misbrukes til ondsinnede formål.
- Alle nettlesere prøver å takle problemet med egensindige utvidelser.
- Googles Manifest V3 er en slik løsning som takler noen problemer, men som i liten grad regjerer i tillatelsene som er tilgjengelige for utvidelsene.
Husker du den stavekontrollerende nettleserutvidelsen som ba om tillatelser til å lese og analysere alt du skriver? Eksperter på nettsikkerhet advarer om at det er stor sjanse for at enkelte utvidelser misbruker ditt samtykke til å stjele passordene du slår inn i nettleseren.
For å hjelpe brukere med å forstå farene ved nettutvidelser har det digitale sikkerhetsselskapet Talon analysert Chrome Nettmarked for å rapportere at titusenvis av utvidelser har tilgang til bekymringsfulle tillatelser, for eksempel muligheten til å endre data på alle besøkte nettsteder, last ned filer, få tilgang til nedlastingsaktivitet og mer.
«Mange populære utvidelser setter brukere i fare,» forklarte medgründer og CTO for Talon Cyber Security Ohad Bobrov til Lifewire via e-post. "[Selv] godartede utvidelser kan ha sårbarheter i koden, eller forsyningskjeden, og kan være utsatt for overtakelse av ondsinnede aktører."
Wayward Extensions
Talon argumenterer for at utvidelser gir stor verdi for brukerne sine, og gir en rekke nyttige funksjoner til nettleserne som annonseblokkering, stavekontroll, passordadministrasjon og mer. Men for å få disse funksjonene, krever utvidelsene brede tillatelser for å endre nettleseren, dens oppførsel og de besøkte nettstedene.
«Naturligvis kan dette nivået av kontroll og tilgang fra tredjepartsaktører utgjøre betydelige sikkerhets- og personverntrusler for brukerne,» forklarte Talon.
Selskapet legger til at til tross for Googles kontrollprosess, klarer mange ondsinnede utvidelser å slippe gjennom hullene og ender opp med å påvirke millioner av brukere negativt. Analysen avdekket at over 60 % av alle utvidelser på Chrome Nettmarked har tillatelser til å lese eller endre brukerdata og -aktivitet.
Talon sier for eksempel at stave- og grammatikkkontrollere ber om tillatelse til å injisere skript som kjører fra konteksten til nettsiden for å analysere brukerens tekst. De gjør dette vanligvis ved å inspisere inndatafeltene eller logge brukerens tastetrykk på andre måter. Selskapet sier at dette effektivt lar utvidelsene samle inn og eksfiltrere all informasjon på nettsiden, inkludert passord og andre sensitive data.
Så er det annonseblokkering, som utgjør noen av Chrome Nettmarkeds beste utvidelser. Denne funksjonaliteten innebærer å fjerne elementer fra siden og krever de samme tillatelsene som stavekontrollere.
Det er ukjent hvilke data som ble eksfiltrert, men det kan potensielt ha stjålet hva som helst fra hvilken som helst side, inkludert passord.
På samme måte kan tillatelsene som er gitt til skjermdeling og videokonferanseutvidelser for å utføre den tiltenkte oppgaven, også misbrukes til å fange opp brukerens skjerm og lyd.
"To sårbarheter ble funnet i uBlock Origin de siste månedene, noe som gjorde det mulig for angripere å utnytte utvidelsens tillatelse til å lese og endre data på alle nettsteder og stjele sensitiv brukerinformasjon," fort alte Bobrov oss.
"Annonseblokkere som uBlock Origin er ekstremt populære og har vanligvis tilgang til hver side en bruker besøker. Bak kulissene drives de av fellesskapsbaserte filterlister – CSS-velgere som dikterer hvilke elementer som skal blokkeres. Disse lister er ikke helt klarert, så de er begrenset til å forhindre at ondsinnede regler stjeler brukerdata," skrev sikkerhetsforsker Gareth Heyes da han demonstrerte å bruke sårbarheter i utvidelsen for å stjele passord.
Bobrov delte også at i 2019 ble den populære The Great Suspender-utvidelsen, som hadde over to millioner brukere, kjøpt av en ondsinnet aktør, som fortsatte med å utnytte tillatelsene til å injisere skript for å kjøre uevaluert, eksternt hostet kode på nettsider.
"Det er ukjent hvilke data som ble eksfiltrert," sa han, "men det kunne potensielt ha stjålet hva som helst fra hvilken som helst side, inkludert passord."
Ingen reell løsning
Bobrov sier at Chrome og praktisk t alt alle andre ledende nettlesere jobber for å begrense sikkerhetsrisikoen ved utvidelser, ikke bare ved å forbedre kontrollprosessen, men også ved å begrense noen av utvidelsenes muligheter.
Et slikt nylig skritt Bobrov påpeker er Googles Manifest V3. Han sier at for den gjennomsnittlige brukeren er den mest merkbare forskjellen Manifest V3 ville gi for utvidelser et fullstendig forbud mot eksternt vertsbasert kode og et skifte i måten utvidelser endrer nettforespørsler på. Han legger imidlertid til at på minussiden har Manifest V3 blitt kritisert for alvorlig å hemme annonseblokkere.
"De viktigste trendene er å lukke sikkerhetshull, øke sluttbrukerens synlighet og kontroll (f.eks. hvilke nettsteder som tillater utvidelser å kjøre), og forbud mot ugjennomgåbar kode fra utvidelser," sa Bobrov. "Noen av disse endringene er inkludert i Googles Manifest V3. Ingen av disse endringene endrer imidlertid tillatelsene som er tilgjengelige for utvidelser dramatisk."
