Według najnowszych badań wiele rozszerzeń dla Chrome’a może stanowić zagrożenie dla bezpieczeństwa naszych danych.

Podczas jutrzejszego wystąpienia na Usenix Security Symposium w San Diego zostaną zaprezentowane wyniki badań nad bezpieczeństwem rozszerzeń instalowanych w przeglądarce Google Chrome. Jak się okazuje, w znacznej części wtyczek odnaleziono luki bezpieczeństwa, przez które można niepostrzeżenie wykraść poufne informacje. Specjaliści ds. bezpieczeństwa w sieci przebadali 48 tysięcy najróżniejszych wtyczek, a wśród nich znaleźli 130 szkodliwych oraz 4712 o podejrzanym charakterze.

Alexandros Kapravelos z Uniwersyteru Kalifornijskiego w Santa Barbara zauważa, że instalując rozszerzenia, często nie zauważamy ich złośliwego charakteru. Dopiero gdy odpalimy specjalnie spreparowane strony, szkodliwe oprogramowanie uaktywnia się. Aby ułatwić rozpoznawanie potencjalnie niebezpiecznych wtyczek, uruchomiono system Hulk, który analizuje pracę dodatków na tzw. HoneyPages, stronach internetowych stworzonych z myślą o wykrywaniu błędnego zachowania rozszerzeń dla przeglądarek.

Kapravelos uważa, że pozwalamy przeglądarkom na zbyt wiele i powinniśmy z większą uwagą przyznawać uprawnienia nieznanym rozszerzeniom. Google co prawda dokładnie sprawdza wszystkie dodatki do Chrome przed wypuszczeniem ich do Web Store, i nie pozwala instalować ich spoza sklepu, ale to często nie wystarcza, by zapewnić sobie bezpieczeństwo. I tak może zdarzyć się, że wtyczka wymusi na nas przyznanie dostępu do jakiejś funkcji w Chromie, przez co przechwyci zapytania wysyłane do sieci, przekieruje na inną stronę i uruchomi złośliwe oprogramowanie w JavaScript.

Zagrożenie dotyczy sporej liczby użytkowników, niektóre z podejrzanych rozszerzeń zanotowały przeszło milion ściągnięć. Jako przykład podano pewną wtyczkę, która trafiła do 5,5 miliona chińskich internautów, nieustannie śledziła odwiedzane przez użytkownika strony i przesyłała je do zdalnego serwera, nie używając szyfrowania SLL. Inne z kolei podmieniały reklamy na własne banery, by czerpać z tego zyski. Fałszywe banery były umieszczane nawet tam, gdzie nigdy ich nie było, np. na stronach Wikipedii.

Nieliczne spośród testowanych dodatków próbowały podsłuchać sesje bankowe lub przechwycić dane logowania do witryn – przyznał Chris Grier, specjalista ds. bezpieczeństwa z  Uniwersytetu Kalifornijskiego w Berkley i współtwórca raportu – ale jak zapewnia, już niedługo będziemy wstanie wykryć i wyeliminować te zagrożenia. Oprócz Grriera i Kapravelosa w badaniach brali również udział Neha Chachra, Christopher Kruegel, Giovanni Vigna orazVern Paxson.

Na razie wystarczy, że nie będziemy instalowali wtyczek, co do których nie mamy żadnych zastrzeżeń, albo ograniczymy się do funkcji oferowanych przez podstawową wersję przeglądarki. Wyłapaniem szkodliwych dodatków i usunięciem ich z Web Store powinien zająć się Google.

Źródło