Aktualizace prohlížeče Chrome posiluje uživatelskou kontrolu nad rozšířeními

Od verze 25 prohlížeče Google Chrome se rozšíření prohlížeče nainstalované offline jinými aplikacemi nebudou aktivována, dokud uživatelé neudělí svolení prostřednictvím dialogového okna v rozhraní prohlížeče

. vývojáři momentů mají několik možností instalace rozšíření offline - bez použití rozhraní prohlížeče - v prohlížeči Google Chrome pro Windows. Jeden z nich zahrnuje přidání speciálních položek do registru systému Windows, které Chrome informují, že byla nainstalována nová rozšíření a měla by být povolena.

"Tato funkce byla původně určena k tomu, aby umožnila uživatelům přihlásit se k přidání užitečné rozšíření do prohlížeče Chrome část instalace jiné aplikace, "řekl Peter Ludwig, produktový manažer produktu Chrome Extensions. "Bohužel tato funkce byla obecně zneužita třetími stranami k bezproblémové instalaci rozšíření do prohlížeče Chrome bez řádného potvrzení od uživatelů."

[Další informace: Jak odstranit malware z počítače se systémem Windows]

Chcete-li zabránit tomuto typu od začátku s Chrome 25, prohlížeč automaticky zakáže všechny dříve nainstalované "externí" rozšíření a uživatelům poskytne jednorázové dialogové okno, které si zvolí, které z nich chtějí znovu povolit.

Kromě toho se všechna rozšíření které jsou nainstalovány pomocí metod offline, budou ve výchozím nastavení deaktivovány a uživatel bude požádán, zda je budou chtít povolit při restartu prohlížeče.

Mozilla implementovala velmi podobný mechanismus před rokem ve Firefoxu, aby zabránil rozšířením nainstalovaných offline ostatní programy jsou povoleny bez potvrzení uživatele.

Bezpečnostní obavy

Mnoho útoků používalo rozšíření prohlížeče se zlými úmysly, včetně rozšíření pro Chrome. Například v květnu vydala Nadace Wikimedia upozornění na rozšíření Google Chrome, které vkládalo neoprávněné reklamy do stránek Wikipedie.

Společnost Google v červenci přestala povolovat instalaci rozšíření Chrome z webových stránek třetích stran a omezovala pouze instalace na webu na rozšíření nalezená v oficiálním internetovém obchodě Chrome.

Díky útočníkům bylo šíření škodlivých rozšíření těžší, ale nezabránilo škodlivému softwaru instalovat nepotřebné rozšíření Chrome do již ohroženého systému pomocí metod offline. Nadcházející změny v Chrome 25 se zaměřují na to.

"Myslím, že je to dobrý krok správným směrem, což je bezpečnější prohlížení," řekl Zoltan Balazs, výzkumník IT bezpečnosti z Maďarska. Balazs předtím vytvořil důvěryhodné rozšíření pro Firefox, Chrome a Safari, aby demonstrovalo, jak mohutné takové nástroje mohou být v rukou útočníků.

Výzkum společnosti Balazs, který byl letos představen na několika bezpečnostních konferencích, ukázal, jak dálkově řízené rozšíření neoprávněného prohlížeče mohou upravovat obsah webových stránek, provádět záběry na obrazovce prostřednictvím webové kamery počítače, fungovat jako reverzní protokol HTTP proxy do interní sítě, stahovat, nahrávat a spouštět soubory, používat pro rozbití hesel popraskání a další.

I přesto, že nadcházející změny v Chrome 25 budou pro útočníky ztížit život, malware by mohl potenciálně nahradit celou instalaci prohlížeče Chrome Backdoired, řekl Balazs. Poukázal na první z "10 neměnných zákonů o bezpečnosti", které vydal Microsoft, který zní: "Pokud vás špatný člověk může přesvědčit, abyste spustili jeho program na vašem počítači, není to váš počítač.", když společnost Google zakázala instalaci rozšíření pro Chrome z webových stránek třetích stran, společnost také uvedla, že začne analyzovat všechna rozšíření uvedená v Internetovém obchodě Chrome pro špatné chování a odstraní ty, které porušují pravidla.

Dejte si pozor na podvody

Od té doby se v Internetovém obchodě Chrome v několika případech objevily škodlivé přípony, což naznačuje, že mechanismus Google pro skenování a kontrolu rozšíření může být vynechán. 30. srpna vědci společnosti Barracuda Networks varovali, že podvodníci Facebooku se podařilo přesunout více než 90 000 uživatelů, aby nainstalovali několik škodlivých rozšíření Chrome, které byly v internetovém obchodě Chrome umístěny předtím, než byly tyto rozšíření odebrány společností Google.

Výstraha ze strany společnosti Facecrooks, který sleduje hrozby na Facebooku, varoval před podvodem, který uživatelům podvedl k instalaci extenzivního rozšíření pro Chrome, a tvrdí, že změní barevné schéma svého profilu ve službě Facebook.

Podle společnosti Balazs skutečnost, že vývojáři se zlými úmysly podařilo obejít web Chrome Systémy detekce škodlivého softwaru v obchodě nejsou tak překvapivé.

Je velmi snadné zamlžovat kód JavaScript nebo skrýt škodlivé funkce uvnitř jiných funkcí, které nejsou škodlivé, nebo vytvářet nekalé rozšíření a přidávat škodlivé funkce do aktualizace. "Je to stejná hra pro kočky a myši, kterou vidíme mezi vývojáři malwaru a AV průmyslem."

"Právě teď je Google bezpečnostním standardem, pokud jde o zabezpečení rozšíření prohlížeče," řekl Balazs. Jedním z velkých kroků vpřed pro Google je však zakázání starší architektury plug-inů NPAPI (Plug-in Application Programming Interface) - je nyní zakázáno v Chrome pro Windows 8 Metro a Chromebook - a podporují architekturu Native Client, řekl.