Cách phát hiện rò rỉ quyền riêng tư trong các tiện ích mở rộng trình duyệt

Các trình duyệt chính hiện nay là Chrome, Edge hoặc Firefox, và việc sử dụng những trình duyệt này có thể gặp phải một số vấn đề với các tiện ích mở rộng.

Nhiều plugin nhỏ có vẻ bình thường có thể đang thu thập lịch sử duyệt web, tải lên nội dung trong bảng tạm, hoặc thậm chí lén lút thiết lập dấu vân tay trình duyệt.

Vấn đề là hầu hết mọi người không biết cách kiểm tra các plugin. Tiếp theo, tôi sẽ giải thích chi tiết cách phát hiện và bảo vệ chống lại sự rò rỉ quyền riêng tư từ các plugin trình duyệt.

1. Tại saoTiện ích mở rộng trình duyệtChúng ta có cần "khám sức khỏe" định kỳ không?

Trong hệ sinh thái trình duyệt, các plugin là những thành phần dễ bị bỏ qua nhất nhưng lại mang theo những rủi ro về quyền riêng tư lớn nhất. Nhiều người tin rằng các plugin chỉ ảnh hưởng đến hiệu suất, nhưng trên thực tế, một plugin với quyền truy cập quá mức có thể đạt được nhiều hơn bạn có thể tưởng tượng.

1. Quyền truy cập của plugin là rất nhạy cảm.

• "Đọc và thay đổi tất cả dữ liệu bạn truy cập trên trang web"

• "Xem lịch sử tải xuống của bạn"

• "Đọc nội dung clipboard"

Nhiều plugin yêu cầu quyền truy cập khi cài đặt vượt quá khả năng thực tế của chúng, điều này tạo cơ hội cho chúng theo dõi hành vi của người dùng.

2. Nguồn của plugin rất phức tạp.

Một số plugin đến từ các nhà phát triển cá nhân, các nhóm không rõ danh tính, hoặc thậm chí là các phiên bản được đóng gói lại, và khả năng có mã độc bên trong không thể bị bỏ qua.

3. Việc cập nhật tự động của các plugin không thể hoàn toàn được kiểm soát.

Ngay cả khi plugin an toàn khi bạn cài đặt nó, các bản cập nhật sau có thể thêm các module theo dõi mới. Bạn có thể thậm chí không nhận thấy bất kỳ thay đổi nào.

Do đó, việc thực hiện đánh giá rủi ro về quyền riêng tư định kỳ đối với các plugin là rất quan trọng. Cho dù bạn là người dùng bình thường, kỹ sư phát triển web hay quản lý an ninh doanh nghiệp, duy trì một môi trường trình duyệt minh bạch và có thể kiểm soát là rất cần thiết cho quyền riêng tư.

2. Phổ biếnRò rỉ riêng tư mở rộng trình duyệtnghĩa

Để hiểu cách phát hiện rủi ro, trước tiên cần hiểu các cách mà các plugin thường rò rỉ thông tin riêng tư. Dưới đây là một vài ví dụ thực tế, chứ không phải là suy đoán lý thuyết.

1. Script nền lắng nghe hành vi duyệt web

Plugins có thể chạy các tập lệnh trong nền, theo dõi các URL mà bạn mở, thời gian bạn dành cho các trang web và thậm chí xác định thói quen sử dụng của bạn. Dữ liệu này đủ để tạo ra hồ sơ người dùng.

2. Gửi yêu cầu ẩn ra bên ngoài (phổ biến nhất)

Ví dụ, yêu cầu một giao diện từ miền bên thứ ba, chứa IP của bạn, lịch sử duyệt web, dữ liệu môi trường plugin, v.v.

Nhiều plugin độc hại sử dụng phương pháp này để "rửa dữ liệu."

3. Tiêm mã để đọc nội dung trang

Một số plugin có thể chèn JS để đọc DOM, điều này có nghĩa là chúng có thể truy cập vào dữ liệu của bạn, bao gồm lịch sử tìm kiếm và thậm chí cả các trường mật khẩu (nếu các biện pháp bảo mật không đủ).

4. Thu thập Dấu vân tay Trình duyệt

Một số plugin lén lút thu thập dấu vân tay của trình duyệt, chẳng hạn như dấu vân tay Canvas, tham số WebGL, ID thiết bị phương tiện, v.v.

Loại theo dõi này rất khó để người dùng bình thường phát hiện, vì vậy việc sử dụng công cụ phát hiện dấu vân tay trình duyệt để kiểm tra là rất cần thiết.

Sau khi hiểu những phương pháp này, bạn sẽ nhận ra tại sao một "danh sách quyền" đơn lẻ là không đủ và rằng cần có nhiều phương pháp phát hiện đa chiều hơn.

3. Một bộ thực tế củaQuá trình phát hiện plugin trình duyệt(Từ sơ cấp đến nâng cao)

Bước 1: Kiểm tra quyền truy cập của plugin (cơ bản nhưng rất quan trọng)

Đi đến trang tiện ích mở rộng trình duyệt và xem xét quyền của từng plugin một cách riêng lẻ để xác định xem chúng có hợp lý dựa trên chức năng của chúng hay không.

Ví dụ:

• Một plugin xem PDF cần "quyền truy cập vào tất cả dữ liệu trang web"? Điều đó không hợp lý.

• Một plugin chụp màn hình yêu cầu "đọc clipboard"? Điều đó là dễ hiểu.

Phần này là cơ bản, nhưng nó có thể lọc ra 30% các plugin đáng ngờ.

Bước 2: Theo dõi các yêu cầu mạng của Plugin (Cần thiết cho người dùng nâng cao)

Bạn có thể sử dụng phương pháp sau:

• Công cụ phát triển trình duyệt → Mạng

• Fiddler

• Charles Proxy

• Wireshark

Quan sát chính:

• Có nhiều yêu cầu cho các tên miền không xác định không?

• Nội dung yêu cầu có chứa URL của bạn, cookies, hoặc dữ liệu duyệt web khác không?

• ID plugin có xuất hiện trong đường dẫn yêu cầu không?

Nếu một plugin thường xuyên kết nối với internet ngay cả khi bạn không sử dụng nó, thì thường có thể đánh giá là nó có hành vi đáng ngờ.

Bước 3: So sánh phát hiện dấu vân tay trình duyệt

Việc thu thập dấu vân tay là một trong những loại vi phạm quyền riêng tư khó phát hiện nhất và yêu cầu sự phát hiện chuyên biệt.

Phương pháp kiểm tra rất đơn giản:

1. Đóng tất cả các plugin → Kiểm tra dấu vân tay

2. Kích hoạt plugin mục tiêu → Kiểm tra lại

3. Quan sát xem có sự thay đổi nào trong hai ID vân tay, việc kết xuất Canvas, các tham số WebGL, v.v.

Nếu sự thay đổi là đáng kể, điều này cho thấy rằng plugin đang tham gia vào việc theo dõi hành vi.

Nhiều nền tảng phát hiện dấu vân tay trình duyệt cung cấp sự so sánh chi tiết, rất hữu ích.

Bước 4: Sử dụng công cụ phát hiện — ToDetect (được khuyến nghị)

Nếu bạn không muốn kiểm tra quyền thủ công, xem xét mã hoặc bắt gói dữ liệu, phương pháp dễ nhất là sử dụng một nền tảng quét chỉ với một cú nhấp chuột như công cụ ToDetect.

Các tính năng mà nó cung cấp bao gồm:

• Kiểm tra tuân thủ quyền truy cập plug-in

• Phân tích mã plugin (bao gồm cả các cuộc gọi API nhạy cảm)

• Theo dõi hành vi liên kết bên ngoài

• Phát hiện sự thay đổi dấu vân tay trình duyệt

• Điểm số rủi ro về quyền riêng tư

Ưu điểm của ToDetect là kết quả phát hiện rõ ràng và dễ hiểu, cho phép người dùng bình thường dễ dàng nắm bắt các điểm rủi ro thay vì bị choáng ngợp bởi một đống từ ngữ kỹ thuật.

Đặc biệt phù hợp cho:

• Muốn nhanh chóng đánh giá tính bảo mật của một plugin.

• Công ty cần kiểm tra môi trường trình duyệt của nhân viên.

• Người dùng không hiểu công nghệ nhưng muốn bảo vệ quyền riêng tư của họ.

Có thể nói đây là loại dễ nhất trong số các công cụ phát hiện plugin trình duyệt hiện tại.

Tóm tắt các gợi ý: Số lượng plugin càng ít càng tốt; bảo vệ càng sớm càng tốt.

Không cài đặt các plugin không sử dụng, và cố gắng sử dụng ToDetect hoặc các công cụ tương tự để kiểm tra các plugin từ nguồn không xác định. Thực hiện kiểm tra sức khỏe hàng tháng của các plugin trình duyệt kết hợp với các công cụ phát hiện dấu vân tay để theo dõi sự thay đổi trong môi trường trình duyệt.

Ngoài ra, các plugin có quyền hạn cao phải được kiểm tra trọng điểm, trình duyệt đã trở thành "điểm nhập dữ liệu" của bạn, bảo vệ nó quan trọng hơn việc cài đặt nhiều chương trình diệt virus.