Η ενημέρωση του Chrome ενισχύει τον έλεγχο των χρηστών μέσω των επεκτάσεων

Ξεκινώντας με την έκδοση 25 του Google Chrome, οι επεκτάσεις προγράμματος περιήγησης που έχουν εγκατασταθεί εκτός σύνδεσης από άλλες εφαρμογές δεν θα ενεργοποιηθούν έως ότου οι χρήστες δώσουν την άδειά τους μέσω ενός πλαισίου διαλόγου στη διεπαφή του προγράμματος περιήγησης. οι προγραμματιστές έχουν αρκετές επιλογές για να εγκαταστήσουν τις επεκτάσεις εκτός σύνδεσης - χωρίς να χρησιμοποιούν τη διεπαφή του προγράμματος περιήγησης - στο Google Chrome για Windows. Ένας από αυτούς περιλαμβάνει την προσθήκη ειδικών καταχωρήσεων στο μητρώο των Windows που δηλώνουν στο Chrome ότι έχει εγκατασταθεί και πρέπει να ενεργοποιηθεί μια νέα επέκταση.

"Αυτή η λειτουργία προοριζόταν αρχικά να επιτρέπει στους χρήστες να επιλέξουν να προσθέσουν μια χρήσιμη επέκταση στο Chrome ένα μέρος της εγκατάστασης άλλης εφαρμογής ", δήλωσε ο Peter Ludwig, διευθυντής προϊόντων της Google για τις επεκτάσεις Chrome, δήλωσε την Παρασκευή σε μια ανάρτηση ιστολογίου. "Δυστυχώς, αυτή η λειτουργία έχει καταστρατηγηθεί ευρέως από τρίτους για την αθόρυβη εγκατάσταση επεκτάσεων στο Chrome χωρίς την κατάλληλη επιβεβαίωση από τους χρήστες."

<Προηγμένη ανάγνωση: Πώς να αφαιρέσετε κακόβουλο λογισμικό από τον υπολογιστή σας Windows

Για να αποφύγετε αυτό τον τύπο από το Chrome 25, το πρόγραμμα περιήγησης θα απενεργοποιήσει αυτόματα όλες τις "εξωτερικές" επεκτάσεις που έχουν εγκατασταθεί και θα παρουσιάσει στους χρήστες ένα παράθυρο διαλόγου για να επιλέξει ποιες από αυτές επιθυμούν να επανενεργοποιήσουν.

Επιπλέον, όλες οι επεκτάσεις που εγκαθίστανται με τις μεθόδους εκτός σύνδεσης, θα απενεργοποιηθούν από προεπιλογή και ο χρήστης θα ερωτηθεί αν θέλει να τις ενεργοποιήσει κατά την επανεκκίνηση του προγράμματος περιήγησης.

Το Mozilla εφάρμοσε έναν πολύ παρόμοιο μηχανισμό πριν από ένα χρόνο στον Firefox για να αποτρέψει την εγκατάσταση των επεκτάσεων από άλλα προγράμματα να είναι ενεργοποιημένα χωρίς επιβεβαίωση του χρήστη.

Προβλήματα ασφαλείας

Πολλές επιθέσεις έχουν χρησιμοποιήσει κακόβουλη επεκτάσεις του προγράμματος περιήγησης, συμπεριλαμβανομένων των επεκτάσεων του Chrome. Για παράδειγμα, το Μάιο, το Ίδρυμα Wikimedia δημοσίευσε μια ειδοποίηση σχετικά με μια επέκταση του Google Chrome που εισήγαγε διαφημίσεις απατεώνων στις σελίδες της Wikipedia.

Τον Ιούλιο, το Google σταμάτησε να επιτρέπει την εγκατάσταση επεκτάσεων Chrome από ιστότοπους τρίτων, στις επεκτάσεις που βρέθηκαν στο επίσημο Chrome Web Store

Αυτό δυσκόλευε τους διαδηλωτές να διανέμουν κακόβουλη επεκτάσεις, αλλά δεν εμπόδιζε το κακόβουλο λογισμικό να εγκαταστήσει λανθασμένες επεκτάσεις Chrome σε ένα ήδη παραβιαζόμενο σύστημα χρησιμοποιώντας τις μεθόδους εκτός σύνδεσης. Οι επερχόμενες αλλαγές στο Chrome 25 αποσκοπούν στο να το αντιμετωπίσουμε

"Νομίζω ότι είναι ένα καλό βήμα προς τη σωστή κατεύθυνση, η οποία είναι μια πιο ασφαλής εμπειρία περιήγησης", δήλωσε ο Zoltan Balazs, ερευνητής ασφάλειας πληροφοριών από την Ουγγαρία. Το Balazs δημιούργησε προηγουμένως κακόβουλα επεκτάσεις για Firefox, Chrome και Safari για να δείξει πόσο ισχυρά είναι αυτά τα εργαλεία στα χέρια των εισβολέων.

Η έρευνα του Balazs, η οποία παρουσιάστηκε σε πολλά συνέδρια ασφαλείας φέτος, έδειξε πώς οι εξ αποστάσεως ελεγχόμενες επεκτάσεις φυλλομετρητή μπορούν να τροποποιήσουν το περιεχόμενο των ιστοσελίδων, να λάβουν στιγμιότυπα οθόνης μέσω της κάμερας του υπολογιστή, να λειτουργήσουν ως αντίστροφη HTTP proxy μέσα στο εσωτερικό δίκτυο, να κατεβάσουν, να ανεβάσουν και να εκτελέσουν αρχεία, Παρόλο που οι επερχόμενες αλλαγές στο Chrome 25 θα δυσκολέψουν τη ζωή για τους επιτιθέμενους, ένα κομμάτι κακόβουλου λογισμικού θα μπορούσε να αντικαταστήσει ενδεχομένως ολόκληρη την εγκατάσταση του Chrome με ένα backdoored, δήλωσε ο Balazs. Δήλωσε στο πρώτο από τα "10 αμετάβλητα νόμους της ασφάλειας" όπως δημοσιεύτηκε από τη Microsoft, το οποίο αναφέρει: "Εάν ένας κακός μπορεί να σας πείσει να εκτελέσετε το πρόγραμμά του στον υπολογιστή σας, δεν είναι πια ο υπολογιστής σας.", όταν η Google απαγόρευσε τις εγκαταστάσεις επέκτασης Chrome από ιστότοπους τρίτων, η εταιρεία δήλωσε επίσης ότι θα ξεκινήσει να αναλύει όλες τις επεκτάσεις που παρατίθενται στο Chrome Web Store για κακόβουλη συμπεριφορά και θα αφαιρέσει τα παραβατικά αυτά.

Προσοχή στις απάτες

Εντούτοις, από το παρελθόν έχουν βρεθεί κακόβουλες επεκτάσεις στο Chrome Web Store πολλές φορές, γεγονός που υποδηλώνει ότι ο μηχανισμός ανίχνευσης επέκτασης και επανεξέτασης της Google μπορεί να παρακαμφθεί. Στις 30 Αυγούστου, ερευνητές από την Barracuda Networks προειδοποίησαν ότι οι απατεώνες του Facebook κατάφεραν να εξαπατήσουν περισσότερους από 90.000 χρήστες για να εγκαταστήσουν διάφορες κακόβουλες επεκτάσεις Chrome που φιλοξενούνται στο Chrome Web Store πριν από την κατάργηση των επεκτάσεων από την Google.

Προειδοποίηση 20 Δεκεμβρίου από Facecrooks που παρακολουθεί τις απειλές του Facebook, προειδοποίησε για μια απάτη που εξαπάτησε τους χρήστες να εγκαταστήσουν μια εξαίρετη επέκταση του Chrome ισχυριζόμενοι ότι αλλάζει το χρώμα του προφίλ τους στο Facebook.

Σύμφωνα με τον Balazs, το γεγονός ότι οι κακόβουλες προγραμματιστές επέκτασης καταφέρνουν να παρακάμψουν το Chrome Web Τα συστήματα ανίχνευσης κακόβουλου λογισμικού του καταστήματος δεν προκαλούν έκπληξη.

Είναι πολύ εύκολο να αποκρύψετε τον κώδικα JavaScript ή να κρύψετε κακόβουλες λειτουργίες μέσα σε άλλες μη κακόβουλες λειτουργίες ή να δημιουργήσετε μη κακόβουλες επεκτάσεις και να προσθέσετε κακόβουλες λειτουργίες σε μια ενημέρωση. "Είναι το ίδιο παιχνίδι με τα ποντίκια και τα μάτια που βλέπουμε μεταξύ των προγραμματιστών κακόβουλου λογισμικού και της βιομηχανίας AV"

"Αυτή τη στιγμή, το Google είναι το πρότυπο ασφάλειας όταν πρόκειται για την ασφάλεια επέκτασης του προγράμματος περιήγησης", δήλωσε ο Balazs. Ωστόσο, ένα μεγάλο βήμα προς τα εμπρός για το Google θα ήταν να απενεργοποιήσει παντού την παλιά αρχιτεκτονική plugin NPAPI (Netscape Plugin Application Programming Interface) - τώρα είναι απενεργοποιημένη στο Chrome για Windows 8 Metro και Chromebook και προωθεί την ασφαλέστερη αρχιτεκτονική Native Client, είπε.