Verifique as extensões do Google Chrome antes de instalá-las
- Categoria: Google Chrome
As extensões do Google Chrome podem estender a funcionalidade do navegador da web ou tornar a vida mais fácil durante a navegação na web. Embora seja esse o caso, eles também podem ser abusados por empresas para rastrear usuários na Internet, exibir anúncios ou baixar códigos maliciosos para o sistema do usuário.
Este artigo fornece os meios para verificar as extensões do Chrome antes de instalá-las. É importante fazer isso antes que a extensão seja instalada no navegador, pois pode ser tarde demais após a instalação.
Embora você possa configurar um ambiente de teste para extensões de navegador, por exemplo, em um Sandbox e com um monitor de tráfego de rede como o Wireshark, pode não ser algo com o qual a maioria dos usuários se sinta confortável.
Parte 0: O que você não deve confiar
A Chrome Web Store pode parecer um local seguro para todas as suas necessidades de extensão, mas não é. O Google usa verificações automatizadas que verificam extensões que os desenvolvedores enviam para a loja. Essas verificações capturam algumas, mas não todas as formas de funções invasoras de privacidade ou mal-intencionadas.
Trend Micro descoberto por exemplo, extensões de navegador mal-intencionadas na Web Store oficial em 2014, e não foi a única empresa que o fez.
Um método comum usado por extensões para passar em todas as verificações de segurança é incluir um script que carregará a carga maliciosa.
A extensão em si não o contém quando enviada para a loja on-line do Chrome. Assim, a extensão passa na verificação e é adicionada à loja onde todos os usuários do Chrome podem baixá-la.
Se você estiver interessado em um exemplo recente desagradável, verifique o malware no navegador artigo de Maxime Kjear.
A descrição é criada pelo desenvolvedor da extensão e, portanto, não é confiável sem verificação.
Os comentários do usuário podem destacar extensões problemáticas, mas nem sempre é o caso. Portanto, eles também não são confiáveis a este respeito sem verificação.
Por último, mas não menos importante, você não deve confiar cegamente nas recomendações ou nas ofertas para instalar uma extensão porque ela é necessária para algo ou anunciada para você.
Parte 1: a descrição
Muitas extensões que usam análises, rastreamento de cliques, rastreamento de seu histórico de navegação e outras formas de rastreamento destacam o fato na descrição da extensão.
Você pode não perceber isso à primeira vista, pois o Google prefere o estilo ao conteúdo na loja. O campo de descrição é minúsculo e geralmente você precisa rolar para ler tudo.
Confira o popular Captura de tela incrível extensão, por exemplo. Parece legítimo, certo? Muitas críticas positivas, mais de 580.000 usuários.
Se você demorar e rolar pela descrição, você acabará por tropeçar na seguinte passagem:
O uso da extensão do navegador Awesome Screenshot requer a concessão de permissão para capturar dados de fluxo de cliques anônimos.
Quer outro exemplo? Que tal o Hover Zoom, uma extensão com mais de 1,2 milhão de usuários que foi criticada no passado por rastrear a integração? Role para baixo e você encontrará ..
O Hover Zoom exige que os usuários da extensão concedam permissão ao Hover Zoom para coletar a atividade de navegação para ser usada internamente e compartilhada com terceiros para uso anônimo e agregado para fins de pesquisa
Flash Player + é outra extensão que destaca em sua descrição que grava dados e compartilha esses dados com terceiros.
A fim de apoiar e melhorar continuamente este software, os usuários que o instalam permitem que o Fairshare colete e compartilhe informações sobre eles e sua atividade de uso da web com terceiros para fins comerciais e de pesquisa
Uma maneira rápida de encontrar essas extensões é pesquisar as frases usadas nessas descrições. Uma pesquisa por opt-out, por exemplo, revela muitos deles nos resultados da pesquisa (ao lado de extensões legítimas). Muitos usam a mesma descrição, o que significa que uma pesquisa por 'coletar e compartilhar informações sobre eles' revelará extensões que usam esse tipo de rastreamento, por exemplo.
Parte 2: informações diretas
As seguintes informações são exibidas na página de perfil das extensões na Chrome Web Store:
A empresa ou indivíduo que o criou / oferece.
Uma avaliação agregada e o número de usuários que a avaliaram.
O número total de usuários.
A data da última atualização.
A versão.
As informações fornecem pistas, mas não são suficientes para julgar uma extensão. Muitos podem ser falsificados ou inflados artificialmente, por exemplo.
O Google falha em fornecer um link para todas as extensões de uma empresa ou indivíduo, e não há opção de obter validação.
Embora você possa usar a pesquisa para encontrar outras extensões por uma empresa ou indivíduo, não há garantia de que os resultados as listem todas.
Parte 3: Permissões
Normalmente não é possível determinar se uma extensão é legítima, rastreando você ou totalmente mal-intencionada com base nas permissões que ela solicita sozinha.
No entanto, existem indicadores disso. Por exemplo, se uma extensão que melhora as solicitações do Facebook para 'ler e alterar todos os seus dados nos sites que você visita', você pode chegar à conclusão de que é melhor não instalar a extensão com base nisso. Como ele só deve funcionar no Facebook, não há necessidade de dar a ele permissões de longo alcance para ver e manipular dados em todos os sites.
Este é apenas um indicador, mas se você usar o bom senso, poderá evitar a instalação de extensões problemáticas. Normalmente, há uma alternativa disponível que oferece funcionalidade semelhante, mas sem as solicitações de permissão de amplo alcance.
Você pode querer verificar essas permissões para todas as extensões instaladas também. Carregue chrome: // extensions / e clique no link de detalhes abaixo de cada extensão. Isso exibe todas as solicitações de permissão dessa extensão novamente como um pop-up no navegador.
Parte 4: A Política de Privacidade
Desde que a extensão esteja vinculada a uma página de Política de Privacidade, você pode encontrar nela informações que revelam se os usuários são rastreados por ela ou não. Isso não funcionará disfarçadamente para extensões mal-intencionadas.
Por exemplo, se você verificar a Política de Privacidade do Fairshare vinculada a extensões como Hover Zoom, encontrará a seguinte passagem nela:
A Empresa pode usar cookies de navegador, dados de armazenamento DOM e da web, cookies Adobe Flash, pixels, beacons e outras tecnologias de rastreamento e coleta de dados, que podem incluir um identificador exclusivo anônimo.
Essas tecnologias podem ser usadas para coletar e armazenar informações sobre o uso dos Serviços, incluindo, sem limitação, páginas da web, recursos e conteúdo que você acessou, consultas de pesquisa que executou, informações de URL de referência, links em que você clicou e anúncios que você tem visto.
Esses dados são usados para fins comerciais, como fornecer anúncios e conteúdo mais relevantes e pesquisas de mercado
Parte 5: o código-fonte
Analisar o código-fonte pode ser a melhor opção que você tem para descobrir se uma extensão está rastreando você ou é maliciosa.
Isso pode não ser tão técnico quanto parece e muitas vezes é possível determinar isso com habilidades rudimentares de HTML e JavaScript.
A primeira coisa que você precisa é de uma extensão que permite que você pegue o código-fonte de uma extensão sem instalá-la. Visualizador de fonte de extensão do Chrome é uma extensão de código aberto para o Chrome que ajuda você com isso.
Uma alternativa para isso é executar o Chrome em um ambiente de sandbox, instalar extensões nele para obter acesso aos seus arquivos.
Se você usar o visualizador de fonte de extensão, você pode clicar no ícone crx na barra de endereço na Web Store do Chrome para baixar a extensão como um arquivo zip ou visualizar sua fonte imediatamente no navegador.
Você pode ignorar todos os arquivos .css e de imagem imediatamente. Os arquivos que você deve examinar mais de perto geralmente têm a extensão .js ou .json.
Você pode verificar o arquivo manifest.json primeiro e verificar o valor content_security_policy para ver uma lista de domínios lá, mas isso geralmente não é suficiente.
Algumas extensões usam nomes óbvios para rastrear arquivos, anúncios, por exemplo, para que você possa começar por aí.
Você pode não conseguir saber se não conhece JavaScript, mas se esse não for o caso.
Agora você : Você executa extensões do Chrome? Você os verificou antes da instalação?