الوجبات الجاهزة الرئيسية
- تتطلب غالبية الإضافات في سوق Chrome الإلكتروني أذونات خطيرة يمكن إساءة استخدامها لأغراض ضارة.
- جميع متصفحات الويب تحاول معالجة مشكلة الامتدادات الضالة.
- برنامج Manifest V3 من Google هو أحد الحلول التي تعالج بعض المشكلات ولكنها لا تفعل شيئًا يذكر للسيطرة على الأذونات المتاحة للإضافات.
تذكر أن ملحق المتصفح الذي يقوم بالتدقيق الإملائي والذي يطلب أذونات لقراءة وتحليل كل ما تكتبه؟ يحذر خبراء الأمن السيبراني من أن هناك احتمال كبير بأن تسيء بعض الإضافات استخدام موافقتك لسرقة كلمات المرور التي تثقبها في متصفح الويب.
لمساعدة المستخدمين على تقدير مخاطر امتدادات الويب ، قامت شركة الأمان الرقمي Talon بتحليل سوق Chrome الإلكتروني للإبلاغ عن أن عشرات الآلاف من الإضافات يمكنها الوصول إلى أذونات مثيرة للقلق ، مثل القدرة على تغيير البيانات في جميع المواقع التي تمت زيارتها وتنزيل الملفات والوصول إلى نشاط التنزيل والمزيد.
أوضح المؤسس المشارك ورئيس التكنولوجيا في Talon Cyber Security Ohad Bobrov لـ Lifewire عبر البريد الإلكتروني أن "العديد من الإضافات الشائعة تعرض المستخدمين للخطر". "[حتى] الامتدادات الحميدة قد تحتوي على ثغرات أمنية في التعليمات البرمجية أو سلسلة التوريد الخاصة بها ، ويمكن أن تكون عرضة للاستيلاء على الجهات الفاعلة الخبيثة."
ملحقات ضاربة
يجادل تالون بأن الإضافات تقدم قيمة كبيرة لمستخدميها ، وتوفر مجموعة من الميزات المفيدة لمتصفحات الويب مثل حظر الإعلانات والتدقيق الإملائي وإدارة كلمات المرور والمزيد. ومع ذلك ، لجلب هذه الوظائف ، تتطلب الإضافات أذونات واسعة لتعديل المتصفح وسلوكه والمواقع التي تمت زيارتها.
"بطبيعة الحال ، يمكن أن يشكل هذا المستوى من التحكم والوصول من الجهات الخارجية تهديدات كبيرة للأمن والخصوصية للمستخدمين" ، أوضح تالون.
تضيف الشركة أنه على الرغم من عملية التدقيق التي تجريها Google ، فإن العديد من الإضافات الضارة تنجح في التسلل عبر الفجوات وينتهي بها الأمر بالتأثير سلبًا على ملايين المستخدمين. كشف تحليلها أن أكثر من 60٪ من جميع الإضافات في سوق Chrome الإلكتروني لديها أذونات لقراءة بيانات المستخدم وأنشطته أو تغييرها.
على سبيل المثال ، يقول تالون إن أدوات التدقيق الإملائي والنحوي تطلب الإذن بحقن البرامج النصية التي يتم تشغيلها من سياق صفحة الويب لتحليل نص المستخدم. يفعلون ذلك عادة عن طريق فحص حقول الإدخال أو تسجيل ضغطات المستخدم على المفاتيح بوسائل أخرى. تقول الشركة إن هذا يسمح بشكل فعال للإضافات بجمع وسحب أي معلومات على صفحة الويب ، بما في ذلك كلمات المرور والبيانات الحساسة الأخرى.
ثم هناك ميزة حظر الإعلانات ، والتي تشكل بعضًا من أهم امتدادات سوق Chrome الإلكتروني. تتضمن هذه الوظيفة إزالة العناصر من الصفحة وتتطلب نفس الأذونات مثل المدققين الإملائيين.
من غير المعروف ما هي البيانات التي تم تسريبها ، ولكن من المحتمل أن تكون قد سرقت أي شيء من أي صفحة ، بما في ذلك كلمات المرور.
وبالمثل ، يمكن أيضًا إساءة استخدام الأذونات الممنوحة لمشاركة الشاشة وملحقات مؤتمرات الفيديو للقيام بالمهمة المقصودة لالتقاط شاشة المستخدم والصوت.
"تم العثور على ثغرتين في uBlock Origin في الأشهر القليلة الماضية ، مما سمح للمهاجمين باستغلال إذن الامتداد لقراءة البيانات وتغييرها على جميع المواقع وسرقة معلومات المستخدم الحساسة ،" أخبرنا بوبروف.
"أدوات منع الإعلانات مثل uBlock Origin تحظى بشعبية كبيرة وعادة ما يكون لها حق الوصول إلى كل صفحة يزورها المستخدم. وخلف الكواليس ، يتم تشغيلها بواسطة قوائم التصفية التي يوفرها المجتمع - محددات CSS التي تحدد العناصر التي يجب حظرها. هذه كتب الباحث الأمني غاريث هايز ، كما أوضح استخدام الثغرات الأمنية في الامتداد لسرقة كلمات المرور ، "القوائم ليست موثوقة تمامًا ، لذا فهي مقيدة لمنع القواعد الضارة من سرقة بيانات المستخدم".
شارك بوبروف أيضًا أنه في عام 2019 ، تم شراء الامتداد الشهير The Great Suspender ، والذي كان يضم أكثر من مليوني مستخدم ، من قبل ممثل ضار ، واستمر في استغلال أذوناته لحقن نصوص برمجية لتشغيل كود لم تتم مراجعته واستضافته عن بُعد في صفحات الويب.
"من غير المعروف ما هي البيانات التي تم تسريبها" ، قال ، "لكن من المحتمل أن تكون قد سرقت أي شيء من أي صفحة ، بما في ذلك كلمات المرور".
لا يوجد حل حقيقي
يقول بوبروف أن Chrome وجميع متصفحات الويب الرائدة الأخرى تقريبًا تعمل على احتواء المخاطر الأمنية التي تشكلها الإضافات ، ليس فقط من خلال تحسين عملية التدقيق الخاصة بهم ولكن أيضًا عن طريق الحد من بعض قدرات الإضافات.
إحدى هذه الخطوات الأخيرة التي أشار إليها بوبروف هي Google's Manifest V3. يقول إنه بالنسبة للمستخدم العادي ، فإن الاختلاف الأكثر وضوحًا الذي سيحققه برنامج Manifest V3 على الامتدادات هو الحظر الكامل على الكود المستضاف عن بُعد والتحول في طريقة تعديل الإضافات لطلبات الويب.ومع ذلك ، يضيف أنه على الجانب السلبي ، تم انتقاد Manifest V3 لإعاقته بشدة برامج حظر الإعلانات.
"أهم الاتجاهات هي سد الفجوات الأمنية ، وزيادة رؤية المستخدم النهائي والتحكم فيه (على سبيل المثال ، المواقع التي تسمح بتشغيل الامتدادات) ، وحظر كود غير قابل للمراجعة من الامتدادات ،" قال بوبروف. "تم تضمين بعض هذه التغييرات في Manifest V3 من Google. ومع ذلك ، لا يغير أي من هذه التغييرات بشكل كبير الأذونات المتاحة للإضافات."
