Chrome кеңейтімдері пайдаланушылардың шолу деректеріне тыңшылық жасайды

Chrome кеңейтімдері URL мекенжайлары, cookie файлдары, пішін енгізулері және желі сұраулары сияқты құпия ақпаратқа қол жеткізу арқылы шолу деректеріне тыңшылық жасай алады (көбінесе сіз білмейсіз). Бұл бақылаудың қалай жұмыс істейтінін және өзіңізді қалай қорғау керектігін түсіну браузерді іскери немесе жеке тапсырмалар үшін пайдаланатын кез келген адам үшін өте маңызды.

Chrome кеңейтімдері шолу деректеріңізге қалай қол жеткізе алады?

Chrome кеңейтімін орнатқан кезде, ол өзінің manifest.json файлында анықталған рұқсаттар жинағын сұрайды. Көптеген пайдаланушылар бұл рұқсат сұрауларын оқымай-ақ "Chrome жүйесіне қосу" түймесін басып, кеңейтімдерге олардың сандық өміріне кең қол жетімділік береді.

Ең қауіпті рұқсаттарға мыналар жатады:

• қойындылар – кеңейтімге сіз ашқан әрбір қойындының URL мекенжайын, тақырыбын және фавиконын оқуға, сіз кірген әрбір веб-сайтты тиімді бақылауға мүмкіндік береді.
• webRequest / webRequestBlocking – Кеңейтімге желі сұрауларын серверге жеткенге дейін ұстауға, тексеруге және тіпті өзгертуге мүмкіндік береді, соның ішінде кіру тіркелгі деректері мен API токендері.
• cookie файлдары – банк, электрондық пошта және SaaS платформаларында аутентификацияланған сеанстарды ұрлау үшін пайдаланылуы мүмкін браузерде сақталған барлық cookie файлдарына рұқсат береді.
• тарих – кеңейтімдерге желідегі әрекетіңіздің егжей-тегжейлі мінез-құлық профилін құруға мүмкіндік беретін шолу тарихыңыздың толық журналын қамтамасыз етеді.
• сақтау – кеңейтімге тұрақты деректерді жергілікті түрде оқуға және жазуға мүмкіндік береді, алынған ақпаратты кейінірек эксфильтрациялау үшін сақтайды.

Тіпті заңды болып көрінетін кеңейтімдер (жарнаманы блоктаушылар, грамматика тексерушілері, өнімділік құралдары) - пайдаланушы деректерін ауқымды түрде жинап, оны деректер брокерлеріне немесе аналитикалық фирмаларға сатқан кезде ұсталды.

Кеңейтілген тыңшылықтың нақты әлемдік салдары қандай?

Тәуекелдер құпиялылыққа қатысты жеңіл қолайсыздықтан әлдеқайда жоғары. Зиянды немесе нашар жобаланған кеңейтімдер жеке адамдарға да, ұйымдарға да өлшенетін зиян келтірді.

2023 жылы зерттеушілер Chrome Web Store дүкенінде миллиондаған пайдаланушылардан тұратын біріктірілген орнату базасы бар ондаған кеңейтімдерді анықтады, олардың барлығы шолу тарихын сыртқы серверлерге тыныш жібереді. Корпоративтік ортадағы жалғыз бұзылған кеңейтім меншікті зерттеулерді, клиент деректерін, ішкі құрал URL мекенжайларын және аутентификация таңбалауыштарын ашуы мүмкін.

"Браузер кеңейтімі сіз кіретін веб-сайттармен бірдей сенімділік деңгейінде жұмыс істейді, бірақ бір уақытта әрбір сайтқа қол жеткізе алатын артықшылықтармен жұмыс істейді. Бұл оны заманауи есептеуіш техникадағы ең қуатты және бағаланбаған шабуыл беттерінің бірі етеді." — Қауіпсіздік зерттеушісінің шолғыш кеңейтімі қаупі туралы көзқарасы

Жалақы, CRM деректері, қаржылық бақылау тақталары сияқты маңызды операцияларды басқаратын бизнес үшін бір қызметкердің құрылғысындағы жалған кеңейтім ұйымның толық бұзылуына айналуы мүмкін. Кеңейтімдер үнсіз жаңартылатындықтан шабуыл беті күшейтілді, яғни бір рет қауіпсіз құрал сатып алудан немесе тыныш кодты өзгертуден кейін зиянды болуы мүмкін.

Қандай кеңейтімдер сізге тыңшылық жасап жатқанын қалай анықтауға болады?

Анықтау оңай емес, бірақ браузер ортасын тексеру үшін дәл қазір орындауға болатын практикалық қадамдар бар.

chrome://extensions бетіне өтіп, орнатылған әрбір кеңейтімді қарап шығудан бастаңыз. Берілген рұқсаттарды тексеру үшін әрқайсысында «Мәліметтер» түймесін басыңыз. Әсіресе, "барлық сайттарға" кіруді сұрайтын кеңейтімдерден сақ болыңыз, егер олардың функциялары тар болса, қарапайым түс таңдау құралы желі сұрауларын оқи алмайды.

Кеңейтім белсенді кезде шығыс трафикті бақылау үшін Chrome-ның кірістірілген DevTools Network тақтасын пайдалануға болады. Privacy Badger немесе браузер желісінің мониторлары сияқты үшінші тарап құралдары деректер брокерінің домендеріне күтпеген сыртқы қоңырауларды белгілей алады. Оған қоса, Reddit r/chrome немесе тәуелсіз қауіпсіздік блогтары сияқты форумдарда кеңейтім шолуларын қарап шығыңыз, өйткені қауымдастық Google әрекет етпес бұрын күдікті әрекетті жиі анықтайды.

Бизнес деректеріңізді кеңейтілген бақылаудан қорғау үшін қандай қадамдар жасай аласыз?

Қорғау техникалық бақылауды ұйымдастыру саясатымен біріктіретін деңгейлі тәсілді қажет етеді.

Жеке деңгейде ең аз артықшылық принципін қолданыңыз: тек қатаң қажет, құпиялылық саясаты мөлдір беделді баспалардан алынған және тәуелсіз қауіпсіздік зерттеушілері жүйелі түрде тексеретін кеңейтімдерді орнатыңыз. Соңғы 30 күнде белсенді пайдаланбаған кеңейтімді жойыңыз.

Ұйым деңгейінде компаниялар Google Workspace әкімшісі немесе кәсіпорын шолғышын басқару құралдары арқылы кеңейтуге рұқсат беру тізімдерін қолдануы керек. Бұл компания құрылғыларында тек алдын ала бекітілген, тексерілген кеңейтімдерді орнатуға болатынын білдіреді. Тұрақты қауіпсіздік аудиттері, қызметкерлерді шолғыш гигиенасы бойынша оқыту және шығыс DNS сұрауларын бақылау осының барлығы әсер етуді азайтады.

Күшті қауіпсіздік ұстанымдары бар платформаларда бизнес операцияларыңызды орталықтандыру сіздің шабуылыңызды айтарлықтай азайтады. Сіздің командаңыз ондаған кеңейтімдерді қажет ететін шолғышқа негізделген құралдардың патч-жүйесі емес, бірыңғай, біріктірілген бизнес операциялық жүйесінен жұмыс істегенде, кеңейтімдер пайдаланатын көптеген рұқсат векторларын жойасыз.

Бірыңғай бизнес-платформа кеңейтім қаупін қалай азайтады?

Браузер кеңейтіміне тәуелділіктің ең бағаланбаған драйверлерінің бірі - құрал фрагменті. Сіздің командаңыз CRM, жобаларды басқару, электрондық пошта маркетингі, шот-фактура және аналитика үшін 15 түрлі SaaS қолданбасын пайдаланған кезде, қызметкерлер бос орындарды жою үшін кеңейтімдерді міндетті түрде орнатады - автоматты толтыру құралдары, деректерді қырғыштар, қойынды менеджерлері және платформалар аралық қосқыштар.

Осы кеңейтімдердің әрқайсысы ықтимал бақылау векторы болып табылады. Құралдың таралуын азайту кеңейтімге тәуелділікті азайтады. Mewayz мұны тікелей ондаған дербес құралдардың функцияларын бір, қауіпсіз платформаға біріктіретін 207 модульдік бизнес операциялық жүйесі ретінде қарастырады. 138 000 пайдаланушының биодағы сілтеме беттерінен бастап электрондық коммерция дүкендерінің сөрелеріне, CRM құбырларына және бір ортадағы мазмұнды жоспарлауға дейін барлығын басқаратындықтан, қауіпті үшінші тарап браузер кеңейтімдерін орнату қажеттілігі күрт төмендейді.

Бизнестің жұмыс үрдістері жұмыс істеуі үшін кеңейтімдерді қажет ететін ондаған қойындыларға шашыраңқы емес, рұқсатпен басқарылатын платформаның ішінде жұмыс істегенде, сіз кеңейтімдер пайдаланатын ең көп таралған деректерді эксфильтрациялау жолдарын жабасыз.

Жиі қойылатын сұрақтар

Chrome кеңейтімдері құпия сөздерімді ұрлай алады ма?

Иә. webRequest рұқсаттары бар кеңейтімдер немесе белгілі бір бет мазмұнына қатынасу шифрланып, серверге жіберілмес бұрын, кіру өрістерін қоса, пішін жіберілімдерін тоқтата алады. cookie рұқсаттары бар кеңейтімдер де сеанс таңбалауыштарын ұрлауы мүмкін, олар сіздің есептік жазбаларыңызға нақты құпия сөзді қажет етпей-ақ тиімді рұқсат береді. Орнатпас бұрын әрқашан кеңейтімнің рұқсаттарын тексеріңіз және қатаң талап етілмесе, құпия домендерге кіруге рұқсат бермеңіз.

Google зиянды кеңейтімдердің Chrome Web Store дүкеніне кіруіне жол бермейді ме?

Google автоматтандырылған және қолмен шолу процестерін пайдаланады, бірақ олар сенімді емес. Зиянды кеңейтімдер бірнеше рет тексеруден өтіп, жойылмас бұрын миллиондаған жүктеп алынған файлдарды жинақтады. Кейбір кеңейтімдер заңды құралдар ретінде басталады және нашар актерлер сатып алғаннан кейін немесе тыныш жаңартудан кейін зиянды болады. Құпия деректері бар компаниялар үшін тек Google тексеру процесіне сену жеткіліксіз; тәуелсіз тексеру және ұйымдық рұқсат тізімдері қажетті қосымша бақылаулар болып табылады.

Chrome кеңейтімдерін қаншалықты жиі тексеруім керек?

Жеке пайдаланушылар үшін тоқсан сайынғы аудит ақылға қонымды база болып табылады. Іскер пайдаланушылар немесе құпия кәсіби деректерді өңдейтін кез келген адам үшін ай сайынғы шолу қолайлырақ. Сондай-ақ браузер кеңейтімдерін қамтитын кез келген маңызды қауіпсіздік жаңалықтарынан кейін, жаңа топ мүшелерін қосқаннан кейін және браузердің баяулауы, қайта бағыттаулары немесе бейтаныс шығыс желі әрекеті сияқты күтпеген әрекетті байқаған кезде дереу тексеру керек.

Браузердің қауіпсіздігі сіз орнатқан және сенетін құралдар туралы таңдаудан басталады. Деректеріңізге қауіп төндіретін кеңейтімге тәуелділікті жою арқылы бизнес операцияларыңызды бір, қауіпсіз платформаға біріктіру арқылы ұйымыңыздың қауіп-қатерін азайтуға дайын болсаңыз,Мевейзді бүгін зерттеңіз. Айына 19 доллардан басталатын жоспарлары, 207 біріктірілген модульдері және 138 000 пайдаланушының өсіп келе жатқан қауымдастығы Mewayz сіздің деректеріңізді басқа біреудің қолына беретін браузер кеңейтімдерінсіз командаңызға қажет нәрсенің бәрін береді.