Jakie ryzyko wiążą się z popularnymi rozszerzeniami Chrome?


20

Zaraz przejdę na Chromium i zainstalowałem kilka rozszerzeń. Za każdym razem, gdy instalowałem rozszerzenie, byłem informowany o tym, do jakich danych ma dostęp rozszerzenie, np .:

wprowadź opis zdjęcia tutaj

Rozumiem, że dostęp do tych danych jest niezbędny do działania rozszerzenia, ale trochę się martwię, że takie rozszerzenie może pewnego dnia zdecydować o aktualizacji i kradzieży („telefonu do domu”) wszystkich moich danych przeglądania.

Kolejny przykład przerażającej wiadomości (podczas włączania rozszerzeń dla okien incognito):

Ostrzeżenie: Chromium nie może uniemożliwić rozszerzeniom zapisywania historii przeglądania. Aby wyłączyć to rozszerzenie w trybie incognito, odznacz tę opcję.

Czy to możliwe zagrożenie przy korzystaniu z popularnych rozszerzeń Chrome? To trochę przerażające, że trzeba ufać innej osobie dla każdej nowej funkcji dodanej do przeglądarki.


Powiązane pytanie dotyczące przepełnienia stosu: stackoverflow.com/questions/249106/…
LeopardSkinPillBoxHat

Odpowiedzi:


25

Zapomniałeś:

Im bardziej popularne jest rozszerzenie, tym mniejsza jest szansa, że ​​nikt nie zauważy, że dodatek działa szkodliwie.

W przeciwieństwie do tego, jeśli zainstalujesz jakieś rozszerzenie, którego nikt wcześniej nie używał, ryzykujesz więcej niż, powiedzmy, instalację AdBlocka. Biorąc pod uwagę, że korzysta z niego tak wiele osób, prawie bezpiecznie jest powiedzieć: ktoś zauważyłby niezwykły ruch.

W rzeczywistości wszystkie rozszerzenia ujawniają swój kod źródłowy, więc każdy może po prostu szukać czegoś podejrzanego.

Ostrzeżenia są właśnie tam, więc nie możesz winić dostawców przeglądarki za jakiekolwiek wyrządzone szkody, na wypadek, gdybyś zainstalował coś, co nieuczciwie z Twoimi danymi. Zawsze czytaj recenzje dodatków, które wyglądają na podejrzane przed ich zainstalowaniem.

Pamiętaj też, że na przykład Google może sprawdzić przesłane dane:

Chociaż Google nie jest zobowiązane do monitorowania Produktów lub ich zawartości, Google może w dowolnym momencie sprawdzić lub przetestować Twoje Produkty i ich kod źródłowy pod kątem zgodności z niniejszą Umową, zasadami programu Google Chrome Web Store oraz wszelkimi innymi mającymi zastosowanie warunkami, obowiązkami, przepisami lub przepisy i może korzystać ze zautomatyzowanych środków w celu przeprowadzenia takiego przeglądu

Usunięcie rozszerzenia może oczywiście powodować problemy dla programisty.


2
Rozszerzenia mogą więc gromadzić i odsyłać moje dane, ale jest mniej prawdopodobne w przypadku popularnych, ponieważ kod źródłowy jest dostępny publicznie.
htorque

1
@htorque Rozszerzenie może to zrobić, tak - ale biorąc pod uwagę naturę rzeczy, jeśli jest więcej osób, na które trzeba uważać, szanse na coś złego są mniejsze.
slhck

3
Mogą istnieć „uzasadnione” powody, dla których wysyłają dane z powrotem na swoje serwery. W takim przypadku jest mało prawdopodobne, aby ktoś dowiedział się, że tak.
Stefano Palazzo,

1
@Stefano To oczywiście prawda. Hej, niektóre rozszerzenia nawet by nie działały bez tego.
slhck

1
Tak, więcej oczu jest zwykle lepsze. Niestety oznacza to również, że im więcej osób będzie z niego korzystać, tym więcej osób będzie zakładało, że ktoś inny zajmie się sprawdzeniem go, a nie zrobi tego sami, co następnie spowoduje zawyżone i sztuczne poczucie bezpieczeństwa. :-(
Synetech

9

Trudno jest podjąć próbę oceny ryzyka. Popularność przynosi dwie rzeczy:

  • Więcej osób próbuje to poprawić (wykrywając zły kod)
  • Więcej osób próbuje go zhakować (i wprowadzić zły kod), aby zaatakować większą bazę użytkowników

Załóżmy, że dla tych przykładów mówimy o projekcie open source z kodem hostowanym w coś takiego jak github.

Jeśli coś ma jednego programistę, to tylko jedna osoba sprawdza kod. Jeśli ktoś (nie programista) chce dodać do tego kod, albo musi oszukać programistę, aby dodał złośliwą łatkę (zdarza się), albo celować w uwierzytelnianie tego programisty, aby mogli sami dodać kod (również się zdarza). Szansa na jedno z tych zdarzeń zależy od zdolności programisty i ich bezpieczeństwa.

Jeśli jest 10 programistów, jest 10 razy więcej wektorów ataku. Ale także 10 razy więcej osób, które mogą wykryć kod.

Jestem pewien, że w projekcie jest taki moment, że nabiera on wystarczającego tempa, aby ludzie przeprowadzali regularne audyty bezpieczeństwa swojego kodu. Ale w dowolnym momencie to huśtawki i ronda.

tl; dr Są zbyt trudne, aby realistycznie wypracować. Jest zbyt wiele ludzkich elementów. Jeśli ma to znaczenie, nie ufaj mu, chyba że sam możesz zweryfikować kod.


+1, również bardzo miłe wytłumaczenie.
slhck

2
Cóż, ufam już setkom hakerów jądra ... dziwne jest „inwestowanie” zaufania w dodatkowe strony trzecie w zakresie prostych funkcji przeglądarki, takich jak obsługa gestów myszy (dlaczego takie rozszerzenie daje możliwość kontaktu ze światem zewnętrznym ?).
htorque

Drugim punktem Oli jest właśnie to, dlaczego twierdzenie użytkowników Linuksa i Mac, że ich platformy są lepsze i bezpieczniejsze niż Windows, jest błędne. Większość hakerów nie przejmuje się hakowaniem Linuksa lub Maca, ponieważ nie ma wystarczającej nagrody. Gdyby tak było, liczba exploitów eksplodowałaby (być może nie tak wysoka jak Windows, ale nadal…) Tak samo jest z każdym oprogramowaniem, w tym z rozszerzeniami. Im bardziej popularny, tym większa zachęta do jego zhakowania. (Wystarczy spojrzeć na rosnącą liczbę hacków na Facebooku / Twitterze / itp.)
Synetech
Korzystając z naszej strony potwierdzasz, że przeczytałeś(-aś) i rozumiesz nasze zasady używania plików cookie i zasady ochrony prywatności.
Licensed under cc by-sa 3.0 with attribution required.