Proširenja preglednika su privatnost noćna mora prestati koristiti mnoge od njih

Proširenja preglednika mnogo su opasnija nego što većina ljudi shvaća. Ovi mali alati često imaju pristup svemu što radite na mreži, tako da mogu zabilježiti vaše lozinke, pratiti pregledavanje weba, umetati oglase na web stranice koje posjećujete i još mnogo toga. Popularna proširenja preglednika često se prodaju u sumnjivim tvrtkama ili se otimaju, a automatska ažuriranja mogu ih pretvoriti u zlonamjerni softver.

Pisali smo o tome kako su vas proširila proširenja preglednika, ali taj se problem nije poboljšao. I dalje postoji stalna struja proširenja.

Zašto su proširenja preglednika tako opasna

Proširenja preglednika prikazuju se u vašem web-pregledniku i često zahtijevaju mogućnost čitanja ili promjene svega na web-stranicama koje posjetite.

Ako proširenje ima pristup svim web-stranicama koje posjetite, to može učiniti gotovo sve. Može funkcionirati kao keylogger za snimanje vaših lozinki i podataka o kreditnoj kartici, umetanje oglasa na stranice koje pregledavate, preusmjeravanje prometa pretraživanja na drugo mjesto, praćenje svega što radite na mreži - ili sve te stvari. Ako proširenje treba skenirati vaše račune ili druge male stvari, vjerojatno ima dopuštenje za skeniranje vaše e-pošte za sve-što je izuzetno opasno.

To ne znači da je svako produljenje je to činite, ali oni limenka-i to bi vas trebalo učiniti vrlo, vrlo opreznim.

Moderni web-preglednici kao što su Google Chrome i Microsoft Edge imaju sustav dopuštenja za proširenja, ali mnoga proširenja zahtijevaju pristup svemu kako bi ispravno funkcionirala. Međutim, čak i proširenje koje samo zahtijeva pristup jednoj web-lokaciji može biti opasno. Na primjer, proširenje koje na neki način modificira Google.com zahtijevat će pristup svemu na Google.com i stoga imati pristup vašem Google računu - uključujući e-poštu.

To nisu samo slatki, bezopasni mali alati. To su sićušni programi s ogromnom razinom pristupa vašem web-pregledniku, što ih čini opasnim. Čak i proširenje koje čini samo manju stvar web stranicama koje posjećujete može zahtijevati pristup svemu što radite u web pregledniku.

Kako sigurna proširenja mogu pretvoriti u zlonamjerni softver

Moderni web-preglednici kao što je Google Chrome automatski ažuriraju instalirana proširenja preglednika. Ako proširenje zahtijeva nove dozvole, privremeno će se deaktivirati sve dok to ne dopustite. Ali, inače, nova verzija proširenja će se izvoditi sa svim istim dopuštenjima prethodne verzije. To dovodi do problema.

U kolovozu 2017. vrlo je popularno i općenito preporučeno proširenje za web-programere za Chrome. Programer je pao na napad krađe identiteta, a napadač je prenio novu verziju proširenja koja je umetnula više oglasa na web stranice. Više od milijun ljudi koji su se pouzdali u razvojnog programera ovog popularnog proširenja dobili su zaraženo proširenje. Budući da je ovo proširenje za web-programere, napad je mogao biti mnogo gore - ne čini se da je zaraženo proširenje funkcioniralo kao keylogger, na primjer.

U mnogim drugim situacijama netko razvija proširenje koje dobiva veliku količinu korisnika, ali ne mora nužno donijeti nikakav novac. Ovom se poduzetniku obraća tvrtka koja će platiti veliku količinu novca za kupnju proširenja. Ako programer prihvati kupnju, nova tvrtka mijenja proširenje kako bi umetnula oglase i pratila, prenijela ga u Chrome web-trgovinu kao ažuriranje, a svi postojeći korisnici sada koriste proširenje nove tvrtke - bez upozorenja.

To se dogodilo s Particle for YouTube, popularnim nastavkom prilagođavanja usluge YouTube, u srpnju 2017. Isto se dogodilo s mnogim drugim proširenjima u prošlosti. Programeri za proširenje Chromea tvrde da stalno dobivaju ponude za kupnju njihovih proširenja. Programeri Honey Extensiona s više od 700.000 korisnika jednom su na Redditu objavili "Ask Me Anything" s detaljima o vrstama ponuda koje često dobivaju.

Osim otimanja i prodaje proširenja, moguće je da je proširenje samo loša vijest i da vas potajno prati kada je instalirate na prvo mjesto.

Chrome je napadnut zbog svoje popularnosti, ali taj problem utječe na sve preglednike. Firefox je vjerojatno još više ugrožen, jer uopće ne koristi sustav dopuštenja - svaki nastavak koji dobivate dobiva puni pristup svemu.

Kako minimizirati rizik

Evo kako ćete ostati sigurni: koristite što je moguće manje proširenja. Ako iz proširenja ne iskoristite mnogo, deinstalirajte ga. Pokušajte smanjiti svoj popis instaliranih proširenja samo na bitne elemente kako biste smanjili mogućnost da jedno od instaliranih proširenja ide loše.

Također je važno koristiti samo proširenja tvrtki u koje imate povjerenja. Na primjer, proširenje za prilagođavanje usluge YouTube koje je stvorila slučajna osoba za koju nikad niste čuli glavni je kandidat za to da postane zlonamjerni softver. Međutim, službeni Gmail Notifier koji je izradio Google, proširenje OneNote za izradu bilješki koje je stvorio Microsoft, ili proširenje LastPass upravitelja lozinki koje je stvorio LastPass gotovo sigurno neće biti prodano sumnjivoj tvrtki za nekoliko tisuća dolara.

Trebali biste također obratiti pozornost na dopuštenja koja zahtijevaju proširenja, kada je to moguće. Na primjer, proširenje koje tvrdi da mijenja samo jednu web-lokaciju treba imati pristup tom web-mjestu. Međutim, mnogim proširenjima potreban je pristup svemu ili pristup vrlo osjetljivoj web-lokaciji koju želite zadržati na sigurnom (kao što je vaša e-pošta). Dozvole su dobra ideja, ali nisu previše korisne kada većina stvari treba pristup svemu.

To je lijepa linija za hodanje, naravno. U prošlosti smo možda rekli da je proširenje Web Developer sigurno, jer je legitimno. Međutim, programer je pao na phishing napad i proširenje je postalo zlonamjerno. To je dobar podsjetnik da, čak i ako biste nekome mogli povjerovati da neće prodati njihovo proširenje sumnjivoj tvrtki, oslanjate se na tu osobu za vašu sigurnost. Ako se ta osoba uspne i dopusti da se njihov račun oteli, na kraju ćete se nositi s posljedicama - a mogli bi biti i mnogo gore od onoga što se dogodilo s proširenjem web-razvojnog programera.