API-urile ale extensiilor pot fura datele browserului prin site-uri rău intenționate

Toate marile browsere web, cum ar fi Chrome, Firefox și Opera, utilizează extensii API. Acestea sunt dezvoltate pentru a oferi utilizatorului mai multă experiență de navigare plus funcționalitate care nu se găsește în browserele native. Cu toate acestea, o lucrare academică recentă a subliniat posibilele erori în aceste API-uri.

Site-uri rău intenționate

O modalitate prin care site-urile web rău intenționate pot utiliza API-uri de extensie este executarea unui cod în browser. Acest cod permite apoi originarului să fure informații sensibile. Marcajele, istoricul navigării și chiar cookie-urile pot fi accesate și lăsate utilizatorului vulnerabil.

De asemenea, atacatorii online pot folosi aceste extensii pentru a ataca sesiunile de conectare ale utilizatorilor. Acest lucru le va permite să obțină acces la date delicate, inclusiv e-mailuri și profiluri media sociale.

Noi cercetări

Accesul la datele utilizatorilor prin extensia API a fost considerat teoretic. Cu toate acestea, o lucrare academică publicată de Dolière Francis Somé a găsit unele anomalii. Lucrarea a fost scrisă de Somé în timp ce efectua cercetări la Université Cote d’Azure și cu ajutorul INRIA, un institut de cercetare francez.

Somé a creat un instrument care a testat peste 78.000 de extensii. Sa concentrat pe cele mai populare, inclusiv Chrome, Firefox și Opera.

Contatari ingrijoratoare

În urma testării sale, Somé a identificat 197 de extensii care au expus interfețele de comunicare API. Acest lucru ar permite accesul site-urilor rău intenționate la datele stocate în browserul web al utilizatorului. Somé a spus că rezultatele au fost surprinzătoare, deoarece numai 15 dintre extensii au fost instrumente de dezvoltare. Aceste extensii au adesea control complet asupra browserului și ar fi ușor de exploatat.

Dintre cele 197 de extensii găsite, mai puțin de 55% au avut peste 1000 de instalări. Totuși, 15% au instalat peste 10.000 de persoane.

Notificarea furnizorilor de browsere

Somé a anunțat furnizorii de browsere înainte de a face publice rezultatele sale. Toți vânzătorii au recunoscut problemele și au declarat că acționează asupra celor identificați.

Atât Opera, cât și Firefox au eliminat toate extensiile raportate. Chrome, pe de altă parte, este încă în discuții despre posibile acțiuni, inclusiv înlăturarea sau stabilirea API-urilor.

Somé a creat, de asemenea, un instrument care permite utilizatorilor să le testeze extensiile. Oricine poate folosi instrumentul bazat pe web copiind și adăugând fișierele manifest.json cu extensii în el.

Instrumentul poate fi găsit AICI

Lasa un comentariu

Acest sit folosește Akismet pentru a reduce spamul. Află cum sunt procesate datele comentariilor tale.