Key Takeaways
- Ein Großteil der Erweiterungen im Chrome Web Store erfordern gefährliche Berechtigungen, die für böswillige Zwecke missbraucht werden können.
- Alle Webbrowser versuchen, das Problem eigensinniger Erweiterungen anzugehen.
- Googles Manifest V3 ist eine solche Lösung, die einige Probleme angeht, aber wenig dazu beiträgt, die für die Erweiterungen verfügbaren Berechtigungen zu kontrollieren.
Erinnerst du dich an die Browser-Erweiterung zur Rechtschreibprüfung, die um Erlaubnis gebeten hat, alles zu lesen und zu analysieren, was du eingibst? Cybersicherheitsexperten warnen davor, dass die Wahrscheinlichkeit hoch ist, dass einige Erweiterungen Ihre Zustimmung missbrauchen, um die Passwörter zu stehlen, die Sie in den Webbrowser eingeben.
Um den Benutzern zu helfen, die Gefahren von Weberweiterungen einzuschätzen, hat das digitale Sicherheitsunternehmen Talon den Chrome Web Store analysiert und berichtet, dass Zehntausende von Erweiterungen Zugriff auf besorgniserregende Berechtigungen haben, wie z. B. die Möglichkeit, Daten auf allen besuchten Websites zu ändern, Dateien herunterladen, auf Download-Aktivitäten zugreifen und mehr.
„Viele beliebte Erweiterungen setzen Benutzer einem Risiko aus“, erklärte Ohad Bobrov, Mitbegründer und CTO von Talon Cyber Security, gegenüber Lifewire per E-Mail. „[Sogar] gutartige Erweiterungen können Schwachstellen in ihrem Code oder ihrer Lieferkette aufweisen und anfällig für Übernahmen durch böswillige Akteure sein.“
Wayward Extensions
Talon argumentiert, dass Erweiterungen ihren Benutzern einen großen Wert bieten und den Webbrowsern eine Vielzahl nützlicher Funktionen wie Werbeblocker, Rechtschreibprüfung, Passwortverw altung und mehr bringen. Um diese Funktionalitäten bereitzustellen, benötigen die Erweiterungen jedoch umfassende Berechtigungen, um den Browser, sein Verh alten und die besuchten Websites zu ändern.
"Natürlich kann dieses Maß an Kontrolle und Zugriff durch Dritte erhebliche Sicherheits- und Datenschutzbedrohungen für die Benutzer darstellen", erklärte Talon.
Das Unternehmen fügt hinzu, dass es trotz des Überprüfungsprozesses von Google vielen bösartigen Erweiterungen gelingt, durch die Lücken zu schlüpfen und sich am Ende nachteilig auf Millionen von Benutzern auszuwirken. Die Analyse ergab, dass über 60 % aller Erweiterungen im Chrome Web Store über Berechtigungen zum Lesen oder Ändern von Benutzerdaten und -aktivitäten verfügen.
Zum Beispiel sagt Talon, dass Rechtschreib- und Grammatikprüfer um Erlaubnis bitten, Skripte einzufügen, die aus dem Kontext der Webseite ausgeführt werden, um den Text des Benutzers zu analysieren. Sie tun dies normalerweise, indem sie die Eingabefelder inspizieren oder die Tastenanschläge des Benutzers auf andere Weise protokollieren. Das Unternehmen sagt, dass dies den Erweiterungen effektiv ermöglicht, alle Informationen auf der Webseite zu sammeln und zu exfiltrieren, einschließlich Passwörtern und anderen sensiblen Daten.
Dann gibt es noch die Werbeblocker, die einige der wichtigsten Erweiterungen des Chrome Web Store ausmachen. Diese Funktion beinh altet das Entfernen von Elementen von der Seite und erfordert die gleichen Berechtigungen wie die Rechtschreibprüfung.
Es ist nicht bekannt, welche Daten exfiltriert wurden, aber es könnte möglicherweise alles von jeder Seite gestohlen haben, einschließlich Passwörtern.
In ähnlicher Weise können auch die Berechtigungen, die der Bildschirmfreigabe und Videokonferenzerweiterungen für ihre beabsichtigte Aufgabe gewährt werden, missbraucht werden, um den Bildschirm und das Audio des Benutzers zu erfassen.
"Zwei Schwachstellen wurden in den letzten Monaten in uBlock Origin gefunden, die es Angreifern ermöglichten, die Erlaubnis der Erweiterung auszunutzen, Daten auf allen Seiten zu lesen und zu ändern und vertrauliche Benutzerinformationen zu stehlen", sagte Bobrov uns.
Werbeblocker wie uBlock Origin sind äußerst beliebt und haben normalerweise Zugriff auf jede Seite, die ein Benutzer besucht. Hinter den Kulissen werden sie von von der Community bereitgestellten Filterlisten unterstützt - CSS-Selektoren, die vorschreiben, welche Elemente blockiert werden sollen. Diese Listen sind nicht vollständig vertrauenswürdig, daher sind sie darauf beschränkt, böswillige Regeln daran zu hindern, Benutzerdaten zu stehlen“, schrieb Sicherheitsforscher Gareth Heyes, als er die Verwendung von Schwachstellen in der Erweiterung zum Stehlen von Passwörtern demonstrierte.
Bobrov teilte auch mit, dass im Jahr 2019 die beliebte Erweiterung The Great Suspender, die über zwei Millionen Nutzer hatte, von einem böswilligen Akteur gekauft wurde, der ihre Berechtigungen ausnutzte, um Skripte einzufügen, um ungeprüften, remote gehosteten Code auszuführen auf Webseiten.
"Es ist nicht bekannt, welche Daten exfiltriert wurden", sagte er, "aber es könnte möglicherweise alles von jeder Seite gestohlen haben, einschließlich Passwörtern."
Keine wirkliche Lösung
Bobrov sagt, dass Chrome und praktisch alle anderen führenden Webbrowser daran arbeiten, das von Erweiterungen ausgehende Sicherheitsrisiko einzudämmen, nicht nur durch die Verbesserung ihres Überprüfungsprozesses, sondern auch durch die Einschränkung einiger Funktionen der Erweiterungen.
Ein solcher jüngster Schritt, auf den Bobrov hinweist, ist Googles Manifest V3. Er sagt, dass für den durchschnittlichen Benutzer der auffälligste Unterschied, den Manifest V3 für Erweiterungen bringen würde, ein vollständiges Verbot von remote gehostetem Code und eine Änderung der Art und Weise ist, wie Erweiterungen Webanforderungen ändern. Er fügt jedoch hinzu, dass Manifest V3 auf der anderen Seite dafür kritisiert wurde, dass es Werbeblocker stark behindert.
"Die wichtigsten Trends sind das Schließen von Sicherheitslücken, die Verbesserung der Sichtbarkeit und Kontrolle für Endbenutzer (z. B. welche Websites die Ausführung von Erweiterungen zulassen) und das Verbot von nicht überprüfbarem Code aus Erweiterungen", sagte Bobrov. "Einige dieser Änderungen sind in Googles Manifest V3 enth alten. Keine dieser Änderungen ändert jedoch dramatisch die für Erweiterungen verfügbaren Berechtigungen."
