Car-tech

Bản cập nhật Chrome tăng cường kiểm soát người dùng trên các tiện ích

Реклама подобрана на основе следующей информации:

Реклама подобрана на основе следующей информации:

Mục lục:

Anonim

Bắt đầu với phiên bản 25 của Google Chrome, các tiện ích mở rộng trình duyệt được cài đặt ngoại tuyến bởi các ứng dụng khác sẽ không được bật cho đến khi người dùng cấp quyền của họ thông qua hộp thoại trong giao diện trình duyệt. thời điểm nhà phát triển có một số tùy chọn để cài đặt tiện ích mở rộng ngoại tuyến - không sử dụng giao diện trình duyệt trong Google Chrome dành cho Windows. Một trong số đó liên quan đến việc thêm các mục đặc biệt trong đăng ký Windows cho Chrome biết rằng một tiện ích mở rộng mới đã được cài đặt và nên được bật.

"Tính năng này ban đầu được thiết kế để cho phép người dùng chọn tham gia thêm tiện ích mở rộng hữu ích vào Chrome một phần của việc cài đặt một ứng dụng khác, "Peter Ludwig, người quản lý sản phẩm Chrome của Google, cho biết hôm thứ Sáu trong một bài đăng trên blog. "Thật không may, tính năng này đã bị các bên thứ ba lạm dụng âm thầm cài đặt các tiện ích mở rộng vào Chrome mà không có sự thừa nhận từ người dùng."

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows]

Để ngăn chặn loại này lạm dụng, bắt đầu với Chrome 25, trình duyệt sẽ tự động tắt tất cả các tiện ích mở rộng "bên ngoài" được cài đặt trước đó và sẽ hiển thị cho người dùng một hộp thoại một lần để chọn người mà họ muốn bật lại.

Ngoài ra, tất cả tiện ích mở rộng được cài đặt bằng cách sử dụng các phương thức ngoại tuyến sẽ bị tắt theo mặc định và người dùng sẽ được hỏi xem họ có muốn bật chúng khi trình duyệt được khởi động lại hay không.

Mozilla đã triển khai một cơ chế rất giống với một năm trước trong Firefox để ngăn các tiện ích mở rộng được cài đặt ngoại tuyến bởi các chương trình khác đang được kích hoạt mà không cần xác nhận người dùng.

Mối quan tâm về bảo mật

Nhiều cuộc tấn công đã sử dụng các tiện ích mở rộng trình duyệt độc hại, bao gồm cả tiện ích mở rộng của Chrome. Ví dụ, vào tháng 5, Wikimedia Foundation đã đưa ra cảnh báo về một tiện ích mở rộng của Google Chrome đã chèn quảng cáo giả mạo vào các trang Wikipedia.

Vào tháng 7, Google đã ngừng cho phép các tiện ích mở rộng của Chrome được cài đặt từ các trang web của bên thứ ba. với các tiện ích mở rộng được tìm thấy trong Cửa hàng Chrome trực tuyến chính thức.

Điều này khiến kẻ tấn công khó phát tán tiện ích mở rộng độc hại hơn, nhưng không ngăn phần mềm độc hại cài đặt các tiện ích mở rộng của Chrome trên hệ thống đã bị xâm phạm bằng các phương pháp ngoại tuyến. Sắp tới Chrome 25 thay đổi nhằm giải quyết vấn đề đó.

"Tôi nghĩ đó là một bước đi đúng hướng, đó là một trải nghiệm duyệt web an toàn hơn", Zoltan Balazs, một nhà nghiên cứu bảo mật CNTT từ Hungary, cho biết. Trước đó, Balazs đã tạo ra các phần mở rộng độc hại bằng chứng cho các trình duyệt Firefox, Chrome và Safari để chứng minh những công cụ mạnh mẽ như thế nào có thể nằm trong tay những kẻ tấn công. các phần mở rộng của trình duyệt giả mạo có thể sửa đổi nội dung của các trang web, chụp ảnh màn hình qua webcam của máy tính, hoạt động như một proxy HTTP ngược vào mạng nội bộ, tải xuống, tải lên và thực thi các tệp, được sử dụng để băm mật khẩu phân tán và hơn thế nữa.

Mặc dù những thay đổi sắp tới trong Chrome 25 sẽ khiến cuộc sống khó khăn hơn cho kẻ tấn công, một phần mềm độc hại vẫn có khả năng thay thế toàn bộ cài đặt Chrome bằng cài đặt backdoor, Balazs nói. Ông chỉ ra đầu tiên của "10 luật an ninh bất biến" được Microsoft công bố, đọc: "Nếu một kẻ xấu có thể thuyết phục bạn chạy chương trình trên máy tính của bạn, nó không phải máy tính của bạn nữa.", khi Google cấm cài đặt tiện ích mở rộng của Chrome từ các trang web của bên thứ ba, công ty cũng cho biết sẽ bắt đầu phân tích tất cả các tiện ích được liệt kê trong Cửa hàng Chrome trực tuyến vì hành vi nguy hiểm và sẽ xóa các phần mềm vi phạm.Hãy coi chừng trò gian lận

Tuy nhiên, các tiện ích mở rộng độc hại đã được tìm thấy trong Cửa hàng Chrome trực tuyến nhiều lần kể từ đó, gợi ý rằng cơ chế xem xét và quét mở rộng của Google có thể bị bỏ qua. Vào ngày 30 tháng 8, các nhà nghiên cứu từ Barracuda Networks cảnh báo rằng những kẻ lừa đảo Facebook đã lừa hơn 90.000 người dùng để cài đặt một số tiện ích mở rộng độc hại của Chrome được lưu trữ trong Cửa hàng Chrome trực tuyến trước khi các tiện ích mở rộng bị Google loại bỏ.

Cảnh báo ngày 20 tháng 12 từ Facecrooks Theo dõi Balazs, thực tế là các nhà phát triển phần mềm độc hại quản lý để bỏ qua Chrome Web Balazs cho biết, hệ thống phát hiện phần mềm độc hại của cửa hàng không đáng ngạc nhiên.

Làm xáo trộn mã JavaScript hoặc ẩn các chức năng độc hại bên trong các chức năng không độc hại khác hoặc tạo các tiện ích không độc hại và thêm các chức năng độc hại trong bản cập nhật. Balazs cho biết: “Đây là trò chơi mèo và mèo giống nhau mà chúng tôi thấy giữa các nhà phát triển phần mềm độc hại và ngành công nghiệp AV.”

"Hiện tại Google là tiêu chuẩn bảo mật khi nói đến bảo mật mở rộng trình duyệt". Tuy nhiên, một bước tiến lớn đối với Google là vô hiệu hóa kiến ​​trúc plugin NPAPI (Giao diện Lập trình Ứng dụng Trình cắm thêm Netscape Plugin) cũ ở mọi nơi - nó hiện bị vô hiệu hóa trong Chrome dành cho Windows 8 Metro và Chromebook và quảng bá kiến ​​trúc Native Client an toàn hơn và có hộp cát, anh ta nói.