Rozszerzenie przeglądarki może widzieć więcej niż myślisz. Dlaczego browser extensions są nową granicą zaufania

Instalujesz rozszerzenie do przeglądarki.

Klikasz Add.

Pojawia się ikona obok paska adresu.

I praktycznie o nim zapominasz.

To jeden z najbardziej normalnych mechanizmów współczesnego Internetu. Rozszerzenia blokują reklamy, zarządzają hasłami, tłumaczą strony, integrują AI, zapisują notatki, automatyzują formularze i modyfikują wygląd witryn.

Problem polega na tym, że rozszerzenie nie jest zwykłą stroną internetową.

Otrzymuje specjalne uprawnienia.

A im więcej uprawnień otrzyma, tym większa staje się granica zaufania pomiędzy użytkownikiem, przeglądarką i rozszerzeniem.

W praktyce instalacja dodatku może być decyzją bezpieczeństwa porównywalną z instalacją programu.

Rozszerzenie działa wewnątrz przeglądarki, ale nie jest zwykłą stroną

Zwykła strona internetowa działa w sandboxie przeglądarki.

Jej możliwości są ograniczone przez mechanizmy bezpieczeństwa:

Website
   |
   v
Browser Sandbox
   |
   v
Operating System

Rozszerzenie otrzymuje jednak dodatkowe możliwości.

W uproszczeniu:

Website
   |
   v
Browser Sandbox

Extension
   |
   +-- Browser APIs
   +-- Permissions
   +-- Storage
   +-- Tabs
   +-- Network access
   +-- Page interaction

Dokładny zakres zależy od przeglądarki, manifestu oraz przyznanych uprawnień.

I właśnie słowo permissions jest tutaj najważniejsze.

Najważniejsze pytanie brzmi: czego rozszerzenie może dotknąć?

Podczas instalacji można zobaczyć komunikaty dotyczące dostępu do stron, kart czy danych.

Użytkownik często traktuje je jako formalność.

To błąd.

Uprawnienie typu:

„read and change data on websites”

może oznaczać bardzo szeroki zakres możliwości.

Jeżeli rozszerzenie może działać na wszystkich stronach, jego kompromitacja może potencjalnie dotknąć również serwisów, które użytkownik uważa za zaufane.

Bankowość.

Poczta.

Panel administracyjny.

GitHub.

System CRM.

WordPress.

Cloud console.

To nie oznacza, że każde takie rozszerzenie automatycznie może wykraść dane.

Oznacza natomiast, że zakres przyznanego dostępu ma bezpośrednie znaczenie dla potencjalnych konsekwencji kompromitacji.

Najgorszy scenariusz nie musi zaczynać się od złośliwego rozszerzenia

Załóżmy, że użytkownik instaluje popularny dodatek.

Przez dwa lata działa prawidłowo.

Ma milion użytkowników.

Ma dobre opinie.

Ma aktywne repozytorium.

Ma historię aktualizacji.

A następnie konto autora zostaje przejęte.

Albo maintainer publikuje złośliwą wersję.

Albo ktoś przejmuje infrastrukturę używaną do publikowania aktualizacji.

Wtedy użytkownik może otrzymać nieznacznie zmienioną wersję rozszerzenia.

Nie musi niczego instalować ponownie.

Wystarczy automatyczna aktualizacja.

To bardzo podobny problem do supply-chain security.

Zaufanie budowane przez lata może zostać wykorzystane jako mechanizm dostarczenia nowego kodu.

Rozszerzenie może stać się pośrednikiem między stroną a użytkownikiem

Wyobraźmy sobie rozszerzenie, które ma możliwość modyfikowania zawartości stron.

Jego zadaniem może być na przykład:

• zmiana wyglądu,

• blokowanie reklam,

• automatyzacja formularzy,

• tłumaczenie treści,

• dodawanie elementów interfejsu.

Technicznie musi więc mieć możliwość ingerencji w stronę.

Jeżeli jednak taki mechanizm zostanie przejęty, zmienia się model zaufania:

USER
  |
  v
BROWSER
  |
  +---- WEBSITE
  |
  +---- EXTENSION
           |
           v
       PAGE CONTENT

Rozszerzenie staje się dodatkowym komponentem, który może uczestniczyć w komunikacji pomiędzy użytkownikiem a stroną.

To bardzo istotna granica.

Passkey też znajduje się w tym ekosystemie

Współczesne przeglądarki coraz częściej pełnią funkcję centrum uwierzytelniania.

Obsługują:

• passkeys,

• WebAuthn,

• cookies sesyjne,

• tokeny,

• certyfikaty,

• lokalne dane aplikacji,

• mechanizmy kryptograficzne.

Dlatego przejęcie kontroli nad przeglądarką jest znacznie poważniejszym problemem niż utrata historii odwiedzanych stron.

Może dotyczyć całej cyfrowej tożsamości użytkownika.

Na Netbe.pl opisaliśmy szerszą zmianę tego modelu:

Your Browser Is Becoming an Operating System. The Security Model Is Changing

Przeglądarka przestała być tylko programem do wyświetlania stron.

Stała się platformą aplikacyjną.

A rozszerzenia są jednym z elementów tej platformy.

Dlaczego aktualizacja rozszerzenia może być ważniejsza niż jego instalacja?

Podczas instalacji użytkownik podejmuje świadomą decyzję.

Przy kolejnych aktualizacjach często już tego nie robi.

To zmienia model:

INSTALL
   ↓
USER CONSENT
   ↓
TRUST
   ↓
AUTOMATIC UPDATE
   ↓
NEW CODE

Użytkownik może więc zaufać wersji 1.0, a kilka miesięcy później automatycznie uruchamiać wersję 1.8.

Jeżeli zakres uprawnień pozostał taki sam, użytkownik może nawet nie zauważyć, że ryzyko się zmieniło.

Dlatego warto wiedzieć nie tylko:

„Co instaluję?”

ale również:

„Co aktualizuje się automatycznie?”

Minimalne uprawnienia mają ogromne znaczenie

Jeżeli rozszerzenie potrzebuje dostępu tylko do konkretnej strony, nie powinno otrzymywać bezwarunkowego dostępu do wszystkich witryn.

Jeżeli dodatek służy do pracy z jednym systemem, nie musi automatycznie działać na:

• poczcie,

• bankowości,

• panelach administracyjnych,

• prywatnych dokumentach,

• systemach produkcyjnych.

Im mniejszy zakres:

permission
   ↓
exposure

tym mniejszy potencjalny zakres kompromitacji.

To klasyczna zasada least privilege.

Tyle że tym razem stosujemy ją nie do użytkownika systemu, lecz do rozszerzenia przeglądarki.

Rozszerzenia AI tworzą nową kategorię ryzyka

To szczególnie interesujący problem.

Nowoczesne rozszerzenia coraz częściej integrują się z modelami AI.

Mogą analizować:

• tekst strony,

• dokumenty,

• pocztę,

• kod,

• formularze,

• wyniki wyszukiwania.

Użytkownik może uznać to za wygodnego asystenta.

Z punktu widzenia bezpieczeństwa trzeba jednak zadać kilka dodatkowych pytań:

Jakie dane rozszerzenie może odczytać?

Czy dane są wysyłane poza urządzenie?

Czy treść strony trafia do modelu?

Czy rozszerzenie przechowuje historię?

Czy dostawca usługi może wykorzystać przekazane dane?

Czy rozszerzenie ma dostęp do stron, których zawartości nie powinno opuszczać urządzenie?

AI zwiększa możliwości rozszerzeń.

Ale zwiększa również ilość danych, które mogą być przetwarzane.

Problemem jest nie tylko malware

Warto rozróżnić kilka różnych scenariuszy.

Złośliwe rozszerzenie

Autor celowo publikuje dodatek zaprojektowany do kradzieży danych.

Przejęcie konta autora

Oryginalny projekt zostaje przejęty, a następnie wypuszczona zostaje złośliwa wersja.

Supply-chain compromise

Atakujący przejmuje jeden z elementów procesu budowania lub publikowania rozszerzenia.

Nadmierne uprawnienia

Rozszerzenie nie jest złośliwe, ale posiada znacznie większy dostęp, niż rzeczywiście potrzebuje.

Luka w rozszerzeniu

Sam dodatek może posiadać podatność pozwalającą innemu komponentowi wykorzystać jego uprzywilejowane funkcje.

Każdy z tych scenariuszy wymaga innej reakcji.

Dlaczego reputacja nie jest mechanizmem bezpieczeństwa?

Popularność rozszerzenia może być dobrym sygnałem jakości.

Nie jest jednak dowodem bezpieczeństwa.

Duża liczba instalacji nie gwarantuje, że:

• kod jest bezpieczny,

• konto autora jest dobrze zabezpieczone,

• proces publikacji jest odporny na przejęcie,

• wszystkie zależności są bezpieczne,

• aktualizacje są dokładnie kontrolowane.

Tak samo liczba gwiazdek w repozytorium nie zastępuje analizy uprawnień.

Najważniejszy jest model zaufania.

Co powinien zrobić zwykły użytkownik?

Nie trzeba przestać używać rozszerzeń.

Trzeba przestać instalować je bez zastanowienia.

Przed instalacją warto sprawdzić:

• kto jest autorem,

• jakie uprawnienia są wymagane,

• czy rozszerzenie jest nadal aktualizowane,

• czy naprawdę potrzebujesz wszystkich jego funkcji,

• czy ma dostęp do wszystkich stron,

• czy przetwarza dane poza urządzeniem,

• czy istnieją alternatywy wymagające mniejszego dostępu.

Raz na jakiś czas warto również przejrzeć całą listę zainstalowanych dodatków.

Nie tylko tych nowych.

Również tych, które zainstalowałeś dwa lub trzy lata temu.

W firmie sytuacja wygląda jeszcze poważniej

Pracownik korzystający z przeglądarki może mieć dostęp do:

• poczty firmowej,

• CRM,

• repozytoriów,

• paneli cloud,

• systemów finansowych,

• dokumentów,

• VPN,

• paneli administracyjnych.

Jedno rozszerzenie działające na wszystkich stronach może więc znajdować się bardzo blisko ogromnej ilości danych biznesowych.

Dlatego organizacje powinny rozważyć:

• centralne zarządzanie rozszerzeniami,

• whitelisty zatwierdzonych dodatków,

• blokowanie nieautoryzowanych instalacji,

• kontrolę uprawnień,

• audyt zmian,

• separację profili,

• polityki dotyczące rozszerzeń AI,

• monitoring nietypowego zachowania przeglądarki.

W środowisku enterprise przeglądarka powinna być traktowana jako element endpoint security.

Nie jako zwykłe narzędzie użytkownika.

Profil przeglądarki też jest granicą bezpieczeństwa

Jednym z prostych sposobów ograniczenia ryzyka jest separacja kontekstów.

Można używać osobnych profili dla:

WORK
PERSONAL
TESTING
ADMINISTRATION

Dzięki temu rozszerzenia potrzebne do codziennej pracy nie muszą być obecne w profilu wykorzystywanym do administracji.

To nie tworzy absolutnej izolacji.

Ale ogranicza zakres potencjalnego problemu.

Jest to dokładnie ta sama zasada, która pojawia się w innych obszarach cyberbezpieczeństwa:

nie dawaj jednemu komponentowi dostępu do wszystkiego.

Przeglądarka staje się kolejnym systemem operacyjnym

To właśnie tutaj łączą się wszystkie elementy.

Współczesna przeglądarka obsługuje:

• aplikacje webowe,

• WebAssembly,

• WebGPU,

• pliki,

• pamięć lokalną,

• kryptografię,

• passkeys,

• AI,

• komunikację sieciową,

• rozszerzenia.

Jeżeli dołożymy do tego dane użytkownika i automatyczne aktualizacje, otrzymujemy platformę o bardzo dużym znaczeniu dla bezpieczeństwa.

Dlatego rozszerzenie nie powinno być postrzegane jako niewielka ikonka obok paska adresu.

To kod wykonywany wewnątrz jednej z najważniejszych aplikacji na współczesnym komputerze.

Najważniejsza zasada: ufaj minimalnie

Bezpieczeństwo rozszerzeń można sprowadzić do kilku prostych pytań:

Czy tego potrzebuję?
        ↓
Jakie ma uprawnienia?
        ↓
Do jakich danych ma dostęp?
        ↓
Co robi podczas aktualizacji?
        ↓
Czy mogę ograniczyć jego zakres?

Jeżeli odpowiedź na którekolwiek z tych pytań jest niejasna, warto zatrzymać się przed instalacją.

Nie dlatego, że każde rozszerzenie jest zagrożeniem.

Dlatego, że każde rozszerzenie jest kolejnym elementem zaufania.

Podsumowanie

Rozszerzenia przeglądarki są wygodne, ale nie są neutralnym dodatkiem do interfejsu.

Mogą otrzymywać dostęp do stron, danych i funkcji przeglądarki, a ich aktualizacje mogą zmieniać zachowanie oprogramowania bez ponownej świadomej decyzji użytkownika.

Dlatego warto traktować je podobnie jak inne komponenty oprogramowania:

minimalne uprawnienia, ograniczony zakres, regularny audyt i kontrola aktualizacji.

Szczególnie ważne staje się to teraz, gdy przeglądarka przejmuje coraz więcej funkcji tradycyjnie kojarzonych z systemem operacyjnym.

Jeżeli browser staje się miejscem, w którym przechowujemy tożsamość, dane, klucze i pracę, rozszerzenia stają się jedną z jego najważniejszych granic zaufania.

#Cybersecurity #InfoSec #CVE #Vulnerability #Security #CyberAttack #Exploit #Malware #Ransomware