Verifiqueu les extensions de Google Chrome abans d’instal·lar-les
- Categoria: Google Chrome
Les extensions de Google Chrome poden ampliar la funcionalitat del navegador web o facilitar la vida mentre navegueu per Internet. Tot i que aquest és el cas, també es pot abusar de les empreses per rastrejar usuaris a través d’Internet, mostrar publicitat o descarregar codi maliciós al sistema d’usuaris.
Aquest article us ofereix els mitjans per verificar les extensions de Chrome abans d’instal·lar-les. És important fer-ho abans que l’extensió s’instal·li al navegador, ja que pot ser massa tard després de la instal·lació.
Tot i que podeu configurar un entorn de prova per a extensions del navegador, com per exemple en una caixa de sorra i amb un monitor de trànsit de xarxa com Wireshark, pot ser que realment no sigui una cosa amb la qual els usuaris se sentin còmodes.
Part 0: El que no s’ha de confiar
Chrome Web Store pot semblar una ubicació segura per a totes les vostres necessitats d'extensions, però no ho és. Google utilitza comprovacions automatitzades que expliquen les extensions que els desenvolupadors carreguen a la botiga. Aquestes comprovacions recullen algunes, però no totes les formes de funcions invasives o privadeses malintencionades.
Tendència Micro descoberta per exemple, les extensions del navegador maliciós a la botiga web oficial el 2014, i no és l'única empresa que ho va fer.
Un mètode comú utilitzat per les extensions per aprovar totes les comprovacions de seguretat és incloure un script que carregui la càrrega útil maliciosa.
L'extensió en si no la conté quan s'envia a la botiga web Chrome. Així, l’extensió passa la comprovació i s’afegeix a la botiga on tots els usuaris de Chrome poden descarregar-la.
Si esteu interessats en un exemple recent i desagradable, mireu-ne programari maliciós al navegador article de Maxime Kjear.
La descripció ha estat creada pel desenvolupador de l'extensió i, per tant, no s'ha de confiar sense verificació.
Els comentaris dels usuaris poden destacar les extensions problemàtiques, però no sempre és així. Per tant, tampoc se’ls ha de confiar en aquest aspecte sense verificació.
Per últim, però no per això menys important, no hauria de confiar en les recomanacions a cegues, ni en les ofertes per instal·lar una extensió perquè és necessari per a alguna cosa o per fer-li publicitat.
1a part: la descripció
Moltes extensions que utilitzen analítica, seguiment de clics, seguiment de l'historial de navegació i altres formes de seguiment posen de manifest el fet en la descripció de l'extensió.
Potser no veieu aquest primer cop d’ull ja que Google afavoreix l’estil sobre la substància a la botiga. El camp de descripció és petit i sovint cal desplaçar-lo per llegir-ho tot.
Consulteu el popular Captura de pantalla impressionant extensió per exemple. Sembla legítim, no? Moltes ressenyes positives, més de 580.000 usuaris.
Si us adoneu el temps i aneu a la descripció, ensopegareu amb el següent pas:
L'ús de l'extensió del navegador Awesome Screenshot requereix concedir-li permís per capturar dades de flux de clics anonimades.
Voleu un altre exemple? Què passa amb Hover Zoom, una extensió amb més d’1,2 milions d’usuaris que en el passat ha estat criticada per la integració del seguiment? Desplaceu-vos cap avall i trobeu ..
Hover Zoom requereix que els usuaris d'extensions concedeixin a Hover Zoom el permís per recollir l'activitat de navegació per a ser utilitzada internament i per compartir-la amb tercers, per utilitzar-los de manera anònima i agregada amb finalitats de recerca.
Flash Player + és una altra extensió que destaca en la seva descripció que grava dades i comparteix aquestes dades amb tercers.
Per a donar suport i millorar contínuament aquest programari, els usuaris que l’instal·len permeten a Fairshare recopilar i compartir informació sobre ells i la seva activitat d’ús web amb tercers amb finalitats empresarials i de recerca.
Una manera ràpida de trobar aquestes extensions és cercar frases utilitzades en aquestes descripcions. Una cerca per desactivació, per exemple, els revela molts dels resultats de la cerca (al costat de les extensions legítimes). Molts utilitzen la mateixa descripció, cosa que significa que una cerca per 'recopilar i compartir informació sobre ells' revelarà extensions que utilitzen aquest tipus de seguiment per exemple.
2a part: informació directa
A la pàgina de perfil de les extensions de Chrome Web Store es mostra la informació següent:
L’empresa o persona que l’ha creat / l’ofereix.
Una valoració global i el nombre d’usuaris que l’han puntuat.
El nombre total d’usuaris.
La darrera data actualitzada.
La versió.
La informació us proporciona pistes, però no són suficients per jutjar una extensió. Per exemple, molts es poden falsificar o inflar artificialment.
Google no proporciona un enllaç a totes les extensions d’una empresa o persona, i no hi ha cap opció per obtenir la validació.
Si bé podeu utilitzar la cerca per trobar altres extensions per part d’una empresa o persona, no hi ha cap garantia que els resultats els llistin tots.
3ª part: Permisos
Normalment no és possible determinar si una extensió és legítima, fer-ne el seguiment o fer malícia en funció dels permisos que sol·licita.
Tanmateix, hi ha indicadors. Per exemple, si una extensió que millora les sol·licituds de Facebook per 'llegir i canviar totes les vostres dades als llocs web que visiteu', podeu arribar a la conclusió que millor no instal·leu l'extensió basada en això. Com que només hauria de funcionar a Facebook, no cal donar-li permisos àmpliament per veure i manipular dades en tots els llocs.
Tot i això només és un indicador, però si utilitzeu el sentit comú, és possible que no pugueu instal·lar extensions problemàtiques. Normalment, hi ha una alternativa disponible que ofereix una funcionalitat similar, però sense sol·licituds de permís àmplia.
És possible que també vulgueu comprovar aquests permisos per a totes les extensions instal·lades. Carregueu Chrome: // extensions / i feu clic a l’enllaç de detalls situat a cada extensió. Es mostrarà de nou totes les sol·licituds de permís d'aquesta extensió com a finestra emergent al navegador.
4a part: La Política de privadesa
Sempre que l’extensió s’enllaci a una pàgina de Política de privadesa, hi podreu trobar informació que reveli si els usuaris se’n fan un seguiment o no. Això no funcionarà de manera obvia per a extensions malicioses.
Per exemple, si consulteu la Política de privadesa de Fairshare enllaçada des d'extensions, com ara Hover Zoom, hi trobareu el següent passatge:
L’empresa pot utilitzar cookies del navegador, dades d’emmagatzematge web i DOM, cookies Adobe Flash, píxels, balises i altres tecnologies de seguiment i recollida de dades, que poden incloure un identificador únic anònim.
Aquestes tecnologies es poden utilitzar per recopilar i emmagatzemar informació sobre l’ús dels Serveis, incloses, sense cap limitació, pàgines web, funcions i contingut que heu accedit, consultes de cerca que heu executat, informació d’URL de referència, enllaços on heu fet clic i anuncis que han vist.
Aquestes dades s’utilitzen amb finalitats comercials, com ara proporcionar anuncis i contingut més rellevants i investigació de mercat
5a part: El codi font
Examinar el codi font pot ser la millor opció que heu de saber si una extensió us fa un seguiment o és maliciosa.
Pot ser que això no sigui tan tècnic com sembla, i sovint és possible determinar-ho amb habilitats rudimentàries en HTML i JavaScript.
El primer que necessiteu és una extensió que us permet agafar el codi font d'una extensió sense instal·lar-la. Visualitzador de font d'extensions de Chrome és una extensió de codi obert per a Chrome que us ajuda amb això.
Una alternativa a això és executar Chrome en un entorn amb caixa de sorra, instal·lar-hi extensions per accedir als seus fitxers.
Si utilitzeu el visualitzador de fonts d'extensions, podeu fer clic a la icona crx de la barra d'adreces de Chrome Web Store per baixar l'extensió com a fitxer zip o veure la seva font immediatament al navegador.
Podeu ignorar tots els fitxers .css i d’imatges de seguida. Els fitxers que heu de mirar més amunt tenen normalment l’extensió .js o .json.
Podeu comprovar primer el fitxer manifest.json i comprovar el valor content_security_policy per veure una llista de dominis allà, però normalment no és suficient.
Algunes extensions utilitzen noms obvis per fer el seguiment de fitxers, com per exemple, perquè pugueu començar-hi.
Potser no sabreu saber si no coneixeu JavaScript, però si no és el cas.
Ara tu : Teniu en compte les extensions de Chrome? Els heu verificat abans de la instal·lació?