Tak: rozszerzenie przeglądarki z wymaganym dostępem do komunikatora internetowego może odczytać tekst wiadomości po jego odszyfrowaniu i wyświetleniu przez stronę. Nie wymaga to złamania szyfrowania używanego między uczestnikami. Jest to dostęp do jednego z urządzeń końcowych, na którym treść jest już czytelna.
Nie każde rozszerzenie może czytać każdą stronę. Ryzyko zależy od przyznanych uprawnień, zachowania rozszerzenia i środowiska przeglądarki. Sprawdź ten zakres, zamiast zakładać, że wszystkie rozszerzenia są oprogramowaniem szpiegującym albo że obecność w oficjalnym sklepie usuwa ryzyko.
Jak skrypty treści widzą stronę
Dokumentacja skryptów treści Chrome wyjaśnia, że skrypty treści mogą odczytywać i modyfikować obiektowy model dokumentu strony, czyli DOM, w witrynach, do których mają dostęp.
Skrypty te zwykle działają w odizolowanym świecie JavaScript: ich zmienne są oddzielone od zmiennych strony. Jednak DOM strony nadal jest wspólną powierzchnią. Jeśli znajduje się w nim wiadomość czatu lub szkic, izolacja zmiennych JavaScript nie jest obietnicą, że rozszerzenie nie może odczytać tego tekstu.
To rozróżnienie ma znaczenie, ponieważ rozszerzenie nie musi ukraść prywatnego klucza szyfrującego, aby przechwycić czytelną wiadomość. Zwykły dostęp do witryny nie przyznaje też automatycznie wszystkich możliwych możliwości, takich jak nieograniczony dostęp do wszystkich plików cookie przeglądarki; te szczegóły zależą od dodatkowych uprawnień i interfejsów.
Dlaczego E2EE nie rozwiązuje problemu dostępu do urządzenia końcowego
Szyfrowanie end-to-end chroni treść między uprawnionymi urządzeniami końcowymi. Aplikacja musi udostępnić otrzymaną treść osobie, która ją czyta, a przejęte lub nadmiernie uprzywilejowane środowisko lokalne może uzyskać dostęp do tej czytelnej kopii.
Granica kryptograficzna to nie po prostu „gniazdo sieciowe”, a E2EE jest czymś więcej niż szyfrowaniem transportowym. Nie jest jednak ogólną ochroną przed oprogramowaniem, które może obserwować dane wyjściowe lub wejściowe uprawnionego urządzenia końcowego.
Z tego samego powodu przejście na postkwantową wymianę kluczy nie powstrzymuje uprawnionego rozszerzenia przed odczytaniem szkicu przed jego zaszyfrowaniem.
Pomocne zabezpieczenia i twierdzenia, których należy unikać
| Zabezpieczenie | W czym może pomóc | Czego nie gwarantuje |
|---|---|---|
| Ograniczony dostęp rozszerzeń do witryn | Ogranicza miejsca działania uprawnionych skryptów | Że rozszerzenie jest godne zaufania w nadal dozwolonych witrynach |
| Oddzielny profil bez dodanych rozszerzeń | Zmniejsza narażenie tego profilu na rozszerzenia | Ochrony przed złośliwym oprogramowaniem systemu operacyjnego lub przejętą przeglądarką |
| Web Workers lub klucze nieeksportowalne | Mogą ograniczyć określone ryzyka związane z obsługą kluczy | Poufności tekstu jawnego wyświetlanego później użytkownikowi |
| Content Security Policy | Ogranicza określone zachowania skryptów i zasobów strony | Uniwersalnej bariery dla rozszerzeń autoryzowanych przez przeglądarkę |
| Shadow DOM lub renderowanie na canvas | Zmienia renderowanie i hermetyzację | Niezawodnej granicy bezpieczeństwa wobec wrogiego oprogramowania lokalnego |
Manifest V3 zmienia możliwości i zasady rozszerzeń, ale nie usuwa udokumentowanej możliwości analizowania strony przez uprawnione skrypty treści. Twierdzenia, że technika renderowania czyni komunikator „odpornym na rozszerzenia”, wymagają znacznie mocniejszych dowodów.
Sprawdź uprawnienia Chrome przed poufną rozmową
Skorzystaj z przewodnika zarządzania rozszerzeniami Chrome, aby sprawdzić zainstalowane rozszerzenia i ich dostęp do witryn. Tam, gdzie ta funkcja jest dostępna, ogranicz dostęp do rzeczywiście potrzebnych witryn lub wymagaj aktywacji po wybraniu rozszerzenia. Usuń rozszerzenia, których już nie używasz.
Zwracaj uwagę na zmiany uprawnień, ale nie zakładaj, że każda szkodliwa aktualizacja musi poprosić o nowe. Kod może nadużyć dostępu, który już ma. Dokumentacja ostrzeżeń o uprawnieniach Chrome wyjaśnia, kiedy dodane uprawnienia wywołują ostrzeżenie.
Tryb incognito nie jest automatycznie środowiskiem bez rozszerzeń: Chrome pozwala włączać w nim poszczególne rozszerzenia. Sprawdź rzeczywistą konfigurację. Podobnie nie stosuj bez rozróżnienia twierdzeń dotyczących strony w Chrome do samodzielnej aplikacji komputerowej z innym środowiskiem uruchomieniowym.
Jeśli podejrzewasz, że rozszerzenie ujawniło wiadomości
Przestań używać tego środowiska do poufnej komunikacji. Wyłącz lub usuń podejrzane rozszerzenie, zaktualizuj przeglądarkę i sprawdź pozostałe rozszerzenia oraz ich uprawnienia. W zaufanym środowisku sprawdź sesje konta i postępuj zgodnie z instrukcjami odzyskiwania usługi, jeśli mogły zostać ujawnione dane logowania lub dostęp do konta.
Usunięcie rozszerzenia uniemożliwia mu dalsze działanie w tej przeglądarce; nie może cofnąć już skopiowanych treści. Historia czatu wyglądająca na nienaruszoną nie dowodzi, że nie doszło do ujawnienia.
Granica ochrony Livara
Model zagrożeń Livara wyraźnie wyklucza ochronę przed przejętym urządzeniem końcowym. Proof Lab oferuje sprawdzanie skrótu APK i demonstrację kryptografii o ograniczonym zakresie, a nie certyfikat, że sesja przeglądarki jest wolna od złośliwych rozszerzeń.
Utrzymuj zakres uprawnień rozszerzeń tak mały, jak to praktycznie możliwe. Silne szyfrowanie wiadomości i godne zaufania urządzenie końcowe są uzupełniającymi się wymaganiami.
