עדכון Chrome מחזק את בקרת המשתמש על תוספים

החל מגרסה 25 של Google Chrome, תוספי דפדפן שהותקנו באופן לא מקוון על ידי אפליקציות אחרות לא יופעלו עד שהמשתמשים יאפשרו את הרשאתם באמצעות תיבת דו-שיח בממשק הדפדפן. ברגע שלמפתחים יש כמה אפשרויות להתקין תוספים במצב לא מקוון - לא באמצעות ממשק הדפדפן - ב- Google Chrome עבור Windows. אחד מהם כרוך בהוספת רשומות מיוחדות ברישום של Windows שמספרות ל- Chrome שתוסף חדש הותקן ויש להפעיל אותו.

"תכונה זו נועדה במקור לאפשר למשתמשים להצטרף ולהוסיף תוסף שימושי ל- Chrome חלק מההתקנה של יישום אחר ", אמר פיטר לודוויג, מנהל המוצר של גוגל של הרחבות Chrome, ביום שישי בבלוג. "למרבה הצער, תכונה זו התעללה באופן נרחב על ידי צדדים שלישיים כדי להתקין בשקט הרחבות ל- Chrome ללא אישור מתאים ממשתמשים." [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows שלך]

כדי למנוע סוג זה של שימוש לרעה, החל מ- Chrome 25, הדפדפן ישבית באופן אוטומטי את כל התוספים "החיצוניים" שהותקנו בעבר ויציג למשתמשים תיבת דו-שיח חד-פעמית כדי לבחור אילו מהם הם רוצים להפעיל מחדש.

בנוסף, כל התוספים שמותקנים באמצעות השיטות הלא מקוונות יושבתו כברירת מחדל והמשתמש יישאל אם הם רוצים להפעיל אותם עם הפעלת הדפדפן מחדש.

Mozilla יישמה מנגנון דומה מאוד לפני למעלה משנה ב- Firefox כדי למנוע התקנה של תוספים במצב לא מקוון על ידי הפעלת תוכניות אחרות ללא אישור משתמש.

בעיות אבטחה

התקפות רבות השתמשו בתוספי דפדפן זדוניים, כולל תוספים של Chrome. לדוגמה, בחודש מאי פרסמה קרן ויקימדיה התראה על תוסף של Google Chrome שהכניס מודעות סוררות לדפי ויקיפדיה.

בחודש יולי הפסיקה Google לאפשר התקנת תוספים של Chrome מאתרים של צד שלישי, הגבלת התקנות מקוונות בלבד אל התוספים שנמצאו בחנות האינטרנט הרשמית של Chrome.

הדבר הקשה על התוקפים להפיץ תוספים זדוניים, אך לא מנע מתוכנות זדוניות להתקין תוספים של Chrome סוררים במערכת שכבר נפרצה, תוך שימוש בשיטות הלא מקוונות. השינויים הצפויים ב- Chrome 25 נועדו לענות על כך.

"אני חושב שזה צעד טוב בכיוון הנכון, שהוא חוויית גלישה מאובטחת יותר", אמר אתמול זולטן באלאזס, חוקר בתחום טכנולוגיית המידע מהונגריה. Balazs יצרה בעבר הרחבות זדוניות של הוכחה של קונספט עבור Firefox, Chrome ו- Safari כדי להדגים עד כמה כלים חזקים כאלה יכולים להיות בידי התוקפים.

מחקר של Balazs, שהוצג במספר כנסים ביטחוניים השנה, הראה איך מרחוק הרחבות דפדפן מבוקר נשלט יכול לשנות את התוכן של דפי אינטרנט, לקחת צילומי מסך באמצעות מצלמת האינטרנט של המחשב, לפעול כמו פרוקסי HTTP הפוכה לרשת הפנימית, להוריד, להעלות ולבצע קבצים, לשמש עבור פיצול hash הסיסמה מבוזרת ועוד.

למרות שהשינויים הצפויים ב- Chrome 25 יהפכו את החיים לקשים יותר עבור התוקפים, ייתכן שתוכנה זדונית תחליף את כל ההתקנה של Chrome עם מערכת אחורית, אמר Balazs. הוא הצביע על הראשון מתוך "10 חוקי הביטחון הבלתי תלויים" כפי שפורסם על ידי מיקרוסופט, אשר נכתב: "אם בחור רע יכול לשכנע אותך להפעיל את התוכנית שלו במחשב, זה כבר לא המחשב שלך.", כאשר Google אסרה על התקנות של תוספים של Chrome מאתרים של צד שלישי, החברה גם הודיעה שהיא תתחיל לנתח את כל התוספים הרשומים בחנות האינטרנט של Chrome להתנהגות זדונית ותסיר את הפגיעות הפוגעות.

היזהרו הונאות

עם זאת, הרחבות זדוניות נמצאו בחנות האינטרנט של Chrome במספר הזדמנויות מאז, דבר המצביע על כך שניתן לעקוף את מנגנון הסריקה והסקירה של Google. ב -30 באוגוסט הזהירו חוקרים מברקודה כי משתמשי הרדיו של פייסבוק הצליחו להערים על למעלה מ -90,000 משתמשים כדי להתקין כמה תוספים כרום זדוניים המתארחים בחנות האינטרנט של Chrome, לפני שהתוספים הוסרו על ידי Google.

התראה של 20 בדצמבר מ- Facecrooks, קבוצה המנטרת את האיומים של פייסבוק, הזהירה מפני הונאה שהרתיעה את המשתמשים בהתקנת תוסף Chrome סוררים בטענה שהיא משנה את ערכת הצבעים של הפרופיל שלהם בפייסבוק.

לדברי Balazs, העובדה שמפתחי תוספים זדוניים מצליחים לעקוף את Chrome Web מערכות איתור תוכנות זדוניות של Store לא מפתיעות.

קל יותר לעבד קוד JavaScript או להסתיר פונקציות זדוניות בתוך פונקציות אחרות שאינן זדוניות, או ליצור הרחבות לא זדוניות ולהוסיף פונקציות זדוניות בעדכון, הוא קל מאוד. "זה אותו משחק של חתול ועכבר שאנחנו רואים בין מפתחי תוכנות זדוניות לבין תעשיית ה- AV."

"עכשיו Google היא תקן האבטחה בכל הנוגע לאבטחת הרחבת הדפדפן", אמר Balazs. עם זאת, צעד אחד גדול קדימה עבור גוגל יהיה להשבית את NPAPI הישן (Netscape Plugin Application Interface Application Interface) אדריכלות תוסף בכל מקום - זה עכשיו מושבת ב- Chrome עבור Windows 8 מטרו ו- Chromebook - ולקדם את ארכיטקטורת Native Client מאובטח יותר ארגז חול, הוא אמר