Sí: una extensión del navegador con el acceso necesario a un mensajero web puede leer el texto de los mensajes después de que la página los descifre y muestre. No necesita romper el cifrado utilizado entre los participantes. Es acceso a uno de los extremos donde el contenido ya es legible.
No todas las extensiones pueden leer todos los sitios. El riesgo depende de los permisos concedidos, del comportamiento de la extensión y del entorno del navegador. Revisa ese alcance en lugar de suponer que todas las extensiones son spyware o que figurar en una tienda oficial elimina el riesgo.
Cómo ven una página los scripts de contenido
La documentación de Chrome sobre scripts de contenido explica que estos pueden leer y modificar el Modelo de Objetos del Documento, o DOM, de la página en los sitios a los que tienen permiso para acceder.
Estos scripts normalmente se ejecutan en un mundo JavaScript aislado: sus variables están separadas de las de la página. Sin embargo, el DOM de la página sigue siendo una superficie compartida. Si allí hay un mensaje de chat o un borrador, el aislamiento de las variables de JavaScript no promete que la extensión no pueda leer ese texto.
Esta distinción importa porque una extensión no necesita robar una clave de cifrado privada para capturar un mensaje legible. Tampoco el acceso normal a un sitio concede automáticamente todas las capacidades posibles, como acceso ilimitado a todas las cookies del navegador; esos detalles dependen de permisos e interfaces adicionales.
Por qué el cifrado de extremo a extremo no resuelve el acceso al extremo
El cifrado de extremo a extremo protege el contenido entre extremos autorizados. La aplicación debe poner el contenido recibido a disposición de la persona que lo lee, y un entorno local comprometido o con permisos excesivos puede acceder a esa copia legible.
El límite criptográfico no es simplemente «el socket de red», y el cifrado de extremo a extremo es más que cifrado de transporte. Pero no es una defensa general frente a software capaz de observar la salida o la entrada del extremo autorizado.
Por el mismo motivo, pasar a un intercambio de claves poscuántico no impide que una extensión autorizada lea un borrador antes de que se cifre.
Controles que ayudan y afirmaciones que conviene evitar
| Control | En qué puede ayudar | Qué no garantiza |
|---|---|---|
| Acceso restringido de extensiones a sitios | Limita dónde pueden actuar los scripts autorizados | Que la extensión sea fiable en los sitios aún permitidos |
| Un perfil separado sin extensiones añadidas | Reduce la exposición a extensiones en ese perfil | Protección frente a malware del sistema operativo o un navegador comprometido |
| Web Workers o claves no exportables | Pueden reducir ciertos riesgos del manejo de claves | La confidencialidad del texto en claro que después se muestra al usuario |
| Content Security Policy | Restringe ciertos comportamientos de scripts y recursos de la página | Una barrera universal frente a extensiones autorizadas por el navegador |
| Shadow DOM o renderizado en canvas | Cambia el renderizado y la encapsulación | Un límite de seguridad fiable frente a software local hostil |
Manifest V3 cambia las capacidades y reglas de las extensiones, pero no elimina la capacidad documentada de los scripts de contenido autorizados para inspeccionar una página. Las afirmaciones de que una técnica de renderizado vuelve a un mensajero «a prueba de extensiones» necesitan pruebas mucho más sólidas.
Revisa los permisos de Chrome antes de un chat sensible
Utiliza la guía de gestión de extensiones de Chrome para revisar las extensiones instaladas y su acceso a sitios. Cuando la función esté disponible, restringe el acceso a los sitios realmente necesarios o exige su activación al seleccionarlas. Elimina las extensiones que ya no uses.
Presta atención a los cambios de permisos, pero no supongas que toda actualización dañina debe solicitar permisos nuevos. El código puede abusar del acceso que ya tiene. La documentación de Chrome sobre advertencias de permisos explica cuándo los permisos añadidos generan una advertencia.
El modo incógnito no es automáticamente un entorno sin extensiones: Chrome permite habilitar extensiones individuales en él. Comprueba la configuración real. Del mismo modo, no apliques indiscriminadamente una afirmación sobre páginas web de Chrome a una aplicación de escritorio independiente con un entorno de ejecución distinto.
Si sospechas que una extensión expuso mensajes
Deja de usar el entorno afectado para comunicaciones sensibles. Desactiva o elimina la extensión sospechosa, actualiza el navegador y revisa las extensiones y permisos restantes. Desde un entorno de confianza, revisa las sesiones de la cuenta y sigue las instrucciones de recuperación del servicio si las credenciales o el acceso a la cuenta pueden haber quedado expuestos.
Eliminar una extensión impide su funcionamiento futuro en ese navegador; no puede recuperar contenido ya copiado. Un historial de chat de aspecto normal no prueba que no haya habido una divulgación.
El límite de Livara
El modelo de amenazas de Livara excluye expresamente la protección frente a un extremo comprometido. Su Proof Lab ofrece una comprobación del hash del APK y una demostración criptográfica acotada, no una certificación de que la sesión del navegador esté libre de extensiones maliciosas.
Mantén el alcance de los permisos de las extensiones tan reducido como sea práctico. Un cifrado de mensajes sólido y un extremo de confianza son requisitos complementarios.
