Ja: ett webbläsartillägg med nödvändig åtkomst till en webbmeddelandetjänst kan läsa meddelandetext efter att sidan har dekrypterat och visat den. Det kräver inte att krypteringen mellan deltagarna knäcks. Det är åtkomst till en av slutenheterna där innehållet redan är läsbart.
Alla tillägg kan inte läsa alla webbplatser. Risken beror på beviljade behörigheter, tilläggets beteende och webbläsarmiljön. Granska omfattningen i stället för att anta att alla tillägg är spionprogram eller att en plats i den officiella butiken undanröjer risken.
Hur innehållsskript ser en sida
Chromes dokumentation om innehållsskript förklarar att innehållsskript kan läsa och ändra sidans dokumentobjektmodell, DOM, på webbplatser som de har behörighet att komma åt.
Dessa skript körs normalt i en isolerad JavaScript-värld: deras variabler är åtskilda från sidans variabler. Sidans DOM är dock fortfarande en gemensam yta. Om ett chattmeddelande eller utkast finns där är isoleringen av JavaScript-variabler inget löfte om att tillägget inte kan läsa texten.
Skillnaden är viktig eftersom ett tillägg inte behöver stjäla en privat krypteringsnyckel för att fånga ett läsbart meddelande. Vanlig webbplatsåtkomst ger heller inte automatiskt alla tänkbara funktioner, såsom obegränsad åtkomst till alla webbläsarens kakor; sådana detaljer beror på ytterligare behörigheter och gränssnitt.
Varför E2EE inte löser åtkomst till slutenheten
Totalsträckskryptering skyddar innehåll mellan behöriga slutenheter. Applikationen måste göra mottaget innehåll tillgängligt för den som läser det, och en komprometterad lokal miljö eller en miljö med alltför omfattande behörigheter kan komma åt den läsbara kopian.
Den kryptografiska gränsen är inte bara ”nätverkssocketen”, och E2EE är mer än transportkryptering. Men det är inte ett allmänt försvar mot programvara som kan observera den behöriga slutenhetens utdata eller indata.
Av samma skäl hindrar en uppgradering till postkvantnyckelutbyte inte ett behörigt tillägg från att läsa ett utkast innan det krypteras.
Kontroller som hjälper och påståenden att undvika
| Kontroll | Vad den kan hjälpa med | Vad den inte garanterar |
|---|---|---|
| Begränsad webbplatsåtkomst för tillägg | Begränsar var behöriga skript kan köras | Att tillägget är pålitligt på webbplatser som fortfarande tillåts |
| En separat profil utan tillagda tillägg | Minskar exponeringen för tillägg i den profilen | Skydd mot skadlig programvara i operativsystemet eller en komprometterad webbläsare |
| Web Workers eller icke-exporterbara nycklar | Kan minska vissa risker vid nyckelhantering | Konfidentialitet för klartext som senare visas för användaren |
| Content Security Policy | Begränsar vissa beteenden hos sidans skript och resurser | En universell barriär mot webbläsarauktoriserade tillägg |
| Shadow DOM eller canvas-rendering | Ändrar rendering och inkapsling | En pålitlig säkerhetsgräns mot fientlig lokal programvara |
Manifest V3 förändrar tilläggens funktioner och regler, men tar inte bort den dokumenterade möjligheten för behöriga innehållsskript att granska en sida. Påståenden om att en renderingsteknik gör en meddelandetjänst ”tilläggssäker” kräver mycket starkare belägg.
Granska Chrome-behörigheter före en känslig chatt
Använd Chromes guide för tilläggshantering för att granska installerade tillägg och deras webbplatsåtkomst. Där funktionen finns, begränsa åtkomsten till de webbplatser som faktiskt behövs eller kräv aktivering när tillägget väljs. Ta bort tillägg du inte längre använder.
Var uppmärksam på behörighetsändringar, men anta inte att varje skadlig uppdatering måste begära nya behörigheter. Kod kan missbruka åtkomst den redan har. Chromes dokumentation om behörighetsvarningar förklarar när tillagda behörigheter utlöser en varning.
Inkognito är inte automatiskt en tilläggsfri miljö: Chrome tillåter att enskilda tillägg aktiveras där. Kontrollera den faktiska konfigurationen. Tillämpa heller inte ett påstående om webbsidor i Chrome urskillningslöst på en fristående skrivbordsapp med en annan körmiljö.
Om du misstänker att ett tillägg har exponerat meddelanden
Sluta använda den berörda miljön för känslig kommunikation. Inaktivera eller ta bort det misstänkta tillägget, uppdatera webbläsaren och granska återstående tillägg och behörigheter. Granska kontots sessioner från en betrodd miljö och följ tjänstens återställningsvägledning om inloggningsuppgifter eller kontoåtkomst kan ha exponerats.
Att ta bort ett tillägg förhindrar dess framtida verksamhet i den webbläsaren; det kan inte återkalla innehåll som redan kopierats. En chatthistorik som ser orörd ut bevisar inte att inget röjande har skett.
Livaras gräns
Livaras hotmodell utesluter uttryckligen skydd mot en komprometterad slutenhet. Dess Proof Lab erbjuder en APK-hashkontroll och en avgränsad kryptografidemonstration, inte ett intyg om att webbläsarsessionen är fri från skadliga tillägg.
Håll tilläggens behörighetsomfattning så liten som praktiskt möjligt. Stark meddelandekryptering och en betrodd slutenhet är kompletterande krav.
