Μια ομάδα ερευνητών του Πανεπιστημίου του Wisconsin-Madison, δημοσίευσε στο Chrome Web Store ένα extension που μπορεί να αντλήσει κωδικούς πρόσβασης plain text από τον πηγαίο κώδικα ενός ιστότοπου.
Δείτε επίσης: Bing Chat: Διαθέσιμο στον Google Chrome για όλους τους χρήστες desktop
Μετά από μια ανάλυση των πεδίων εισαγωγής κειμένου σε προγράμματα περιήγησης ιστού, προέκυψε ότι το μοντέλο coarse-grained permission παραβιάζει τις αρχές του ελάχιστου προνομίου και της πλήρους διαμεσολάβησης, που χρησιμοποιούνται για την υποστήριξη των επεκτάσεων του Chrome.
Επιπλέον, οι ερευνητές ανακάλυψαν ότι πολλοί ιστότοποι με εκατομμύρια επισκέπτες, συμπεριλαμβανομένων ορισμένων πυλών Google και Cloudflare, αποθηκεύουν κωδικούς πρόσβασης σε plain text στον πηγαίο κώδικα HTML των ιστοσελίδων τους, επιτρέποντας στις επεκτάσεις να τους ανακτήσουν.
Οι ερευνητές εξηγούν ότι το πρόβλημα αφορά τη συστημική πρακτική παροχής των επεκτάσεων του προγράμματος περιήγησης, κάτι που επιτρέπει την πρόσβαση σε δυνητικά ευαίσθητα στοιχεία, όπως πεδία εισαγωγής χρήστη.
Λαμβάνοντας υπόψη την έλλειψη ασφαλούς ορίου μεταξύ του extension και των στοιχείων ενός ιστότοπου, το πρώτο έχει απεριόριστη πρόσβαση σε δεδομένα που είναι ορατά στον πηγαίο κώδικα και μπορεί να εξάγει οποιοδήποτε περιεχόμενο από αυτόν.
Επιπλέον, η επέκταση μπορεί να καταχραστεί το DOM API για να αντλήσει άμεσα τις πληροορίες εισόδου καθώς ο χρήστης τις εισάγει, παρακάμπτοντας τυχόν περιορισμούς που επιβάλλονται από τον ιστότοπο για την προστασία ευαίσθητων δεδομένων και ανακτώντας τις πληροφορίες με τη χρήση προγραμματισμού.
Το πρωτόκολλο Manifest V3, που εισήγαγε το Google Chrome και έχει υιοθετηθεί από τα περισσότερα προγράμματα περιήγησης φέτος, έχει ως στόχο να περιορίσει την κατάχρηση των API. Απαγορεύει στις επεκτάσεις να ανακτούν κώδικα από απομακρυσμένους διακομιστές, με σκοπό τον περιορισμό της πιθανότητας ανίχνευσης και την αποτροπή της αυθαίρετης εκτέλεσης κώδικα μέσω εντολών αξιολόγησης. Ωστόσο, όπως εξηγούν οι ερευνητές, το Manifest V3 δεν θεσπίζει ένα όριο ασφαλείας μεταξύ των επεκτάσεων και των ιστοσελίδων. Επομένως, το πρόβλημα που προκύπτει από τα σενάρια περιεχομένου παραμένει άλυτο.
Δείτε ακόμα: Ο Chrome δοκιμάζει μια επιλογή για την ενεργοποίηση του address bar στο κάτω μέρος στο iOS
Για να δοκιμάσουν τη διαδικασία αναθεώρησης του Google Web Store, οι ερευνητές αποφάσισαν να δημιουργήσουν ένα Chrome extension ικανό για επιθέσεις αρπαγής κωδικού πρόσβασης και να προσπαθήσουν να το ανεβάσουν στην πλατφόρμα.
Οι ερευνητές ανέπτυξαν μια επέκταση που λειτουργεί σαν βοηθός, βασισμένη στο GPT, που μπορεί να:
- Καταγράψει τον πηγαίο κώδικα HTML όταν ο χρήστης επιχειρεί να συνδεθεί σε μια σελίδα μέσω ενός regex.
- Χρησιμοποιεί τους επιλογείς CSS για να επιλέξετε πεδία εισαγωγής προορισμού και να εξαγάγετε εισόδους χρήστη χρησιμοποιώντας τη συνάρτηση ‘.value‘.
- Εκτελεί αντικατάσταση στοιχείων για να αντικαταστήσετε τα ασαφή πεδία που βασίζονται σε JS με μη ασφαλή πεδία κωδικού πρόσβασης.
Αυτό οδήγησε στην αποδοχή της επέκτασης μετά την αξιολόγηση, καθώς και στην ενσωμάτωσή της στο Web Store του Google Chrome. Ως αποτέλεσμα, οι ασφαλείς ελέγχοι δεν κατάφεραν να ανιχνεύσουν τυχόν απειλή.
Η ομάδα ακολούθησε δεοντολογικά πρότυπα για να διασφαλίσει ότι δεν συλλέχθηκαν ή χρησιμοποιήθηκαν πραγματικά δεδομένα. Απενεργοποίησαν τον διακομιστή λήψης δεδομένων και διατήρησαν ενεργό μόνο τον διακομιστή στόχευσης για τα στοιχεία.
Επιπλέον, η επέκταση έχει οριστεί ως “μη δημοσιευμένη” και μπορεί να αλλάξει αυτήν την κατάσταση ανά πάσα στιγμή, προκειμένου να αποφευχθούν υπερβολικές λήψεις. Αμέσως μετά την έγκρισή της, αφαιρέθηκε από το κατάστημα.
Δείτε επίσης: Google Chrome: Θα προειδοποιεί για την κατάργηση επεκτάσεων που είναι malware
Ένας εκπρόσωπος της Google επιβεβαίωσε ότι εξετάζει το ζήτημα και το υπογράμμισε στις Συνήθεις Ερωτήσεις σχετικά με την Ασφάλεια των Επεκτάσεων του Chrome. Δεν θεωρεί την πρόσβαση στα πεδία κωδικού πρόσβασης ως πρόβλημα ασφαλείας, όταν τα αντίστοιχα δικαιώματα αποκτώνται σωστά.
Τα Chrome extensions αποτελούν έναν από τους βασικούς παράγοντες που ενισχύουν τη λειτουργικότητα του προγράμματος περιήγησης. Ωστόσο, όπως φαίνεται από την παραπάνω έρευνα, μπορεί επίσης να εκθέτουν τους χρήστες σε σημαντικούς κινδύνους ασφαλείας. Το γεγονός ότι ένα Chrome extension μπορεί να ανακτήσει κωδικούς πρόσβασης από τον πηγαίο κώδικα ενός ιστότοπου καταδεικνύει την ανάγκη για ενισχυμένες πρακτικές ασφαλείας και καλύτερους ελέγχους επεκτάσεων.
