|
注意：本文作者 ericlaw 強調僅代表個人觀點，微軟為打不代表任何實體 (即不代表微軟)。安全ericlaw 曾是團隊挺珠海金灣找外圍空姐（外圍）vx《749-3814》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達 Office、IE 和 Edge 的工程告攔工程師，現在是師力 Microsoft Defender 團隊產品經理。 關于 Google Chrome Mainfest v3 API 引起的展計爭議非常多，其中最大的擊廣截爭議就是 MV3 限制了廣告擴展程序的能力，因此這被廣泛認為是陰謀谷歌打擊廣告攔截擴展程序，維持自家的論藍廣告業務，廣告是點網谷歌的支柱業務之一。 不過 ericlaw 認為這種說法其實是微軟為打陰謀論，因此 Chrome 團隊的安全本質目的是減少擴展程序 API 的濫用，這牽涉到嚴重的團隊挺隱私和安全問題。
為什么說舊版本的風險很大： 在舊版本中，擴展程序可以在所有網站上讀取和改變數據、師力珠海金灣找外圍空姐（外圍）vx《749-3814》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達修改隱私設置等。對大多數普通用戶來說，根本不會仔細研究這些權限請求的區別，直接安裝這些擴展同意這些授權。 如果用戶授予了上述權限，那么惡意擴展程序可以讀取用戶的電子郵件、向整個地址簿發送釣魚郵件 (即網頁版的郵件)、從網盤中刪除文件或添加惡意文件、把惡意文件分享給你的好友、在 X/Twitter 賬號上發布廣告等等。 提供這種級別的瀏覽器訪問權限比密碼泄露的風險還要大，因為不少網站使用 2FA 驗證，即便密碼泄露黑客也不一定能登錄，但 2FA 對惡意擴展無效，因為用戶已經自己登錄了網站。 還有供應鏈攻擊問題： ericlaw 還提到有些情況下，擴展程序作者可能并不是惡意行為者，但他們可能會在無意中被黑客劫持，例如賬號被劫持替換成惡意擴展、開發者不慎使用了帶有后門的庫，這都會導致用戶遭到威脅。 事實上這種情況已經發生過多次，例如：近期多個谷歌瀏覽器擴展程序開發者遭到釣魚攻擊 還有種灰色產業鏈，一些攻擊者會付費給開發者要求接管擴展程序的分發，當攻擊者在擴展程序里添加后門并通過谷歌審核后，這些擴展同樣會被 Chrome 自動更新，進而威脅到很多用戶。 支持 MV3 API： ericlaw 稱在過去幾年里，Chrome 團隊一直在努力減少新的 MV3 系統被濫用的風險，但專家和其他人已經傳播了精心設計的陰謀論(嗯…這么來說藍點網也是傳播者之一)，認為這是谷歌打擊廣告攔截器的一種方式，以保護谷歌的商業利益 (ericlaw 強調：這是一個特別愚蠢的說法，因為谷歌廣告在新系統中是可以屏蔽的)。 那么人類應該做什么呢？盡可能少地使用擴展程序，盡可能使用瀏覽器內置的功能，定期在 about:extension 中刪除不需要和不認識的擴展程序，定期檢查你的以及你家人的擴展程序。 如果你從事 IT 安全行業，應該了解擴展程序的風險幾乎傳統惡意軟件一樣大，因此應該制定一項策略，通過阻止某些權限來幫助您的企業免受惡意擴展程序的侵害，Chrome 和 Edge 都提供了相關組策略可以控制。 甚至你還可以在公司內部創建 Web Store，僅允許員工安裝 IT 安全團隊審查過后的擴展程序，這將有助于防范供應鏈攻擊，有關這方面的更多信息可以查看這份谷歌發布的 PDF。 |
