par Martin Brinkmann le 19 juillet 2019 dans Firefox, Google Chrome – Dernière mise à Jour: 19 juillet 2019 – 7 commentaires
Les extensions de navigateur peut être très puissante; ils peuvent ajouter des fonctionnalités de navigateurs web, de rendre la navigation plus productifs, et de faire toutes sortes de choses. Alors que la plupart des extensions de navigateur sont sûrs à utiliser, il y a toujours eu certains qui ne le sont pas.
A récemment publié une analyse sur le comportement de plusieurs populaire des extensions de navigateur pour Google Chrome et Mozilla Firefox fournit la preuve que ces extensions, un système sophistiqué de navigateur de la collecte de données système.
Surnommé DataSpii par le chercheur Sam Jadali, il découvre la façon dont huit extensions de navigateur installé par des millions d’utilisateurs réussi à s’en sortir avec la collecte de données pour si longtemps et comment ils l’ont fait.
Les extensions comprennent Hover Zoom, une extension qui a été au cœur d’un scandale en 2013 déjà, ainsi que SuperZoom, SaveFrom.net Helper, FairShare Déverrouiller, et PanelMeasurement.
Alors que certaines des extensions commencé à recueillir des données tout de suite, d’autres ont utilisé élaborer un schéma de la place. Les Extensions ne serait pas commencer à recueillir des données immédiatement et le chercheur a découvert qu’il a fallu en moyenne 24 jours avant la collecte des données partie a été initialisé pour la première fois.
Le retard de la détection beaucoup plus compliqué; les utilisateurs ayant installé l’extension ne serait pas montré avec un doigt tout de suite si ils ont vu quelque chose et la recherche, notamment Google ou Mozilla personnel en regardant les extensions, ne serait pas en mesure de trouver le code ou les traces de la collecte de données, soit après l’installation.
Le chercheur a découvert que les extensions seraient télécharger une JavaScript charge utile à partir de serveurs Internet après cette période initiale qui comprenait la collecte de données de code. Les développeurs d’extensions utilisé diverses méthodes pour dissimuler ce qu’ils faisaient, par exemple, en utilisant le codage base64 et la compression de données.
Jadali, qui est le fondateur de l’hébergement Internet, service d’Accueil Duplex, a remarqué que quelque chose n’allait pas quand il a trouvé du forum privé des liens de clients publiées par google analytics, entreprise Nacho Analytics. Il a découvert que Nacho Analytics avaient des informations sur la liaison interne des données de grandes entreprises telles qu’Apple, Tesla, ou Symantec.
Ces liens ne doivent jamais accessibles par des tiers. Après quelques recherches sur la question, il a découvert que les extensions de navigateur ont été la source la plus probable de la fuite.
La plupart des extensions sont disponibles pour Google Chrome seulement, mais trois sont également disponibles pour Firefox. Le chercheur a constaté que deux des extensions Firefox données collectées uniquement en cas d’installation à partir de sites tiers et ne pas Mozilla AMO.
Une vérification rapide de l’ensemble des huit extensions ont montré qu’ils ont tous été supprimé depuis le Chrome Web Store; toutes renvoient une erreur 404 not found.
Vous pouvez consulter l’article d’Arstechnica sur DataSpii pour plus d’informations.
Le Mot De La Fin
Il n’y a pas vraiment de protection contre ce genre de comportement à court de ne pas installer toutes les extensions de navigateur web. Même trusted extensions peuvent tourner voyous, par exemple, quand ils sont vendu à une autre société, un fait qui n’est pas en surbrillance à l’utilisateur par l’un des navigateurs.
C’est toujours une bonne idée de vérifier les extensions de Chrome avant de les installer, il ne serait pas vous ont aidé à découvrir l’ombre de la nature de certaines des extensions mentionné dans cet article, ils ont commencé la collecte des données semaines après l’installation.
Malveillants extensions sont découverts chaque maintenant et puis, soit par accident, soit par des chercheurs en sécurité. Mozilla interdit 23 snooping extensions en 2018 et une vague de logiciels malveillants extensions en 2019; Google retiré quatre malveillants Chrome extensions d’après les chercheurs ont indiqué à la société, et a dû en supprimer d’autres, à travers les années.
Navigateur décideurs doivent mettre en œuvre les garanties contre ce problème car c’est la seule façon de faire face à la menace une fois pour toutes. Peut-être ajouter un meilleur système de connexion pour faire des choses comme téléchargé des charges utiles plus facile à détecter.
Maintenant, Vous: Combien d’extensions avez-vous installé? Faites-vous confiance à tous?