כן: הרחבת דפדפן עם הגישה הנדרשת ליישומון הודעות בדפדפן יכולה לקרוא את טקסט ההודעה אחרי שהעמוד מפענח ומציג אותו. אין צורך לשבור את ההצפנה שבין המשתתפים. זו גישה לאחד מהתקני הקצה שבהם התוכן כבר ניתן לקריאה.
לא כל הרחבה יכולה לקרוא כל אתר. הסיכון תלוי בהרשאות שניתנו, בהתנהגות ההרחבה ובסביבת הדפדפן. בדקו את היקף הגישה במקום להניח שכל ההרחבות הן תוכנות ריגול, או שרישום בחנות רשמית מסיר את הסיכון.
איך סקריפטי תוכן רואים עמוד
תיעוד סקריפטי התוכן של Chrome מסביר שסקריפטי תוכן יכולים לקרוא ולשנות את מודל אובייקטי המסמך של העמוד, או DOM, באתרים שאליהם הותרה להם גישה.
הסקריפטים האלה פועלים בדרך כלל בעולם JavaScript מבודד: המשתנים שלהם נפרדים ממשתני העמוד. עם זאת, ה־DOM של העמוד נשאר משטח משותף. אם הודעת צ׳אט או טיוטה נמצאת בו, בידוד משתני JavaScript אינו הבטחה שההרחבה אינה יכולה לקרוא את הטקסט הזה.
ההבחנה חשובה משום שהרחבה אינה חייבת לגנוב מפתח הצפנה פרטי כדי ללכוד הודעה קריאה. גם גישה רגילה לאתר אינה מעניקה אוטומטית כל יכולת אפשרית, כגון גישה בלתי מוגבלת לכל קובצי ה־cookie של הדפדפן; פרטים אלה תלויים בהרשאות ובממשקים נוספים.
למה E2EE אינה פותרת גישה להתקן קצה
הצפנה מקצה לקצה מגינה על תוכן בין התקני קצה מורשים. האפליקציה חייבת להנגיש את התוכן שהתקבל לאדם שקורא אותו, וסביבה מקומית שנפרצה או שיש בה הרשאות מופרזות יכולה לגשת לעותק הקריא הזה.
הגבול הקריפטוגרפי אינו פשוט ״שקע הרשת״, ו־E2EE היא יותר מהצפנת תעבורה. אבל היא אינה הגנה כללית מפני תוכנה שיכולה לצפות בפלט או בקלט של התקן הקצה המורשה.
מאותה סיבה, שדרוג לחילופי מפתחות פוסט־קוונטיים אינו מונע מהרחבה בעלת הרשאה לקרוא טיוטה לפני שהיא מוצפנת.
אמצעים שעוזרים וטענות שכדאי להימנע מהן
| אמצעי | במה הוא יכול לעזור | מה אינו מבטיח |
|---|---|---|
| הגבלת גישת הרחבות לאתרים | מגבילה היכן סקריפטים מורשים יכולים לפעול | שההרחבה אמינה באתרים שעדיין מותרים |
| פרופיל נפרד ללא הרחבות שנוספו | מצמצם את החשיפה להרחבות באותו פרופיל | הגנה מפני נוזקה במערכת ההפעלה או דפדפן שנפרץ |
| Web Workers או מפתחות שאינם ניתנים לייצוא | יכולים לצמצם סיכונים מסוימים בטיפול במפתחות | סודיות של טקסט גלוי שמוצג בהמשך למשתמש |
| Content Security Policy | מגבילה התנהגות מסוימת של סקריפטים ומשאבים בעמוד | מחסום אוניברסלי נגד הרחבות שהדפדפן אישר |
| Shadow DOM או ציור ב־canvas | משנים את התצוגה ואת הכימוס | גבול אבטחה אמין מול תוכנה מקומית עוינת |
Manifest V3 משנה את יכולות ההרחבות ואת הכללים שלהן, אבל אינו מסיר את היכולת המתועדת של סקריפטי תוכן מורשים לבדוק עמוד. טענות שטכניקת תצוגה הופכת יישומון הודעות ל״חסין הרחבות״ דורשות ראיות חזקות בהרבה.
בדקו הרשאות Chrome לפני צ׳אט רגיש
השתמשו במדריך ניהול ההרחבות של Chrome כדי לבדוק הרחבות מותקנות ואת גישתן לאתרים. כשהתכונה זמינה, הגבילו גישה לאתרים שבאמת נחוצים או דרשו הפעלה בעת בחירה. הסירו הרחבות שאינכם משתמשים בהן עוד.
שימו לב לשינויים בהרשאות, אבל אל תניחו שכל עדכון מזיק חייב לבקש הרשאות חדשות. קוד יכול לנצל לרעה גישה שכבר קיימת. תיעוד אזהרות ההרשאות של Chrome מסביר מתי הוספת הרשאות מפעילה אזהרה.
גלישה בסתר אינה אוטומטית סביבה ללא הרחבות: Chrome מאפשר להפעיל בה הרחבות מסוימות. בדקו את התצורה בפועל. באותו אופן, אל תחילו ללא הבחנה טענה על עמוד אינטרנט ב־Chrome על אפליקציית מחשב עצמאית בעלת סביבת ריצה אחרת.
אם אתם חושדים שהרחבה חשפה הודעות
הפסיקו להשתמש בסביבה המושפעת לתקשורת רגישה. השביתו או הסירו את ההרחבה החשודה, עדכנו את הדפדפן ובדקו את ההרחבות שנותרו ואת הרשאותיהן. מתוך סביבה מהימנה, בדקו את הפעלות החשבון ופעלו לפי הנחיות השחזור של השירות אם ייתכן שנחשפו פרטי כניסה או גישה לחשבון.
הסרת הרחבה מונעת את פעולתה העתידית באותו דפדפן; היא אינה יכולה להחזיר תוכן שכבר הועתק. היסטוריית צ׳אט שנראית נקייה אינה הוכחה לכך שלא הייתה חשיפה.
הגבול של Livara
מודל האיומים של Livara מחריג במפורש הגנה מפני התקן קצה שנפרץ. Proof Lab שלה מציע בדיקת גיבוב APK והדגמת קריפטוגרפיה מוגבלת בהיקפה, לא אישור שהפעלת הדפדפן נקייה מהרחבות זדוניות.
שמרו את היקף הרשאות ההרחבות קטן ככל שמעשי. הצפנת הודעות חזקה והתקן קצה מהימן הן דרישות משלימות.
