Как браузерные расширения могут видеть ваш торговый аккаунт? Выдаваемые вами разрешения могут выходить за пределы того, что вы думаете

Вы установили расширение для перевода, чтобы читать документацию проекта, и добавили инструмент для установки ценовых уведомлений, чтобы отслеживать рынок. Во время установки браузер запросил разрешение на «Чтение и изменение всех ваших данных на всех веб-сайтах», и вы согласились, не задумываясь об этом.

 

Но эти разрешения могут выходить далеко за рамки перевода статей или отображения цен. Если расширение имеет доступ к веб-сайту вашей биржи, оно также может читать страницы вашего аккаунта, которые вы открываете после входа в систему, — и даже изменять их содержимое. Для этого ему не обязательно нужен ваш пароль от аккаунта или ключ API.

 

Защита вашего торгового аккаунта означает выход за рамки вопроса «Кто знает мой пароль?». Это также означает задание часто упускаемого из виду вопроса: кому разрешено читать и изменять веб-страницу передо мной?

Расширение браузера — это не просто значок на панели инструментов. При наличии соответствующих разрешений оно может выполнять код на веб-сайтах в пределах своей авторизованной области, считывать содержимое страниц, изменять макеты страниц и передавать считанную информацию другим компонентам расширения. Такие функции, как перевод и автозаполнение, зависят от этих возможностей.

 

Проблема в том, что разрешения на доступ к веб-сайтам определяют, где может работать расширение, а не то, соответствует ли каждое действие вашей цели. «Помогите мне перевести обзор этого проекта» не означает автоматически «Только читайте обзор этого проекта». Если вы разрешите расширению доступ ко всем веб-сайтам, этот доступ может также охватывать вашу биржу и веб-почту.

 

На примере Chrome следующие разрешения и возможности заслуживают особого внимания. Эти возможности зависят от конкретных предоставленных разрешений: доступ ко всем веб-сайтам не предоставляет автоматический доступ к буферу обмена или доступ через API Cookies.

 

Разрешение или возможность	Что может доступить расширение	Возможные риски аккаунта
Читайте и изменяйте веб-страницы, к которым у вас есть доступ	Текст, формы, кнопки и информация, уже загруженные на страницах аккаунта	Вредоносное расширение может считывать балансы, позиции или детали ордеров, а также изменять отображаемую на странице информацию и содержимое полей ввода.
Чтение или запись в буфер обмена	Скопированный текст, например, адрес получателя; точные возможности зависят от того, имеет ли расширение разрешение на чтение, запись или оба разрешения	При наличии доступа к буферу обмена для чтения вредоносное расширение может считывать копируемую вами конфиденциальную информацию. При наличии доступа к буферу обмена для записи оно может заменить скопированный адрес для вывода до того, как вы вставите его.
Получите файлы cookie веб-сайта через API файлов cookie	Файлы cookie для авторизованных веб-сайтов, которые могут содержать информацию, сохраняющую ваше состояние входа	Если украденные файлы cookie содержат действительные учетные данные сеанса, злоумышленник может попытаться перехватить ваш сеанс. В Chrome доступ через этот API требует разрешения cookies и соответствующих разрешений веб-сайта.

Следующий сценарий является гипотетическим и иллюстрирует риски, а не описывает конкретный раскрытый инцидент.

 

Чтобы читать статьи на английском языке, Лин устанавливает расширение для перевода и разрешает ему доступ ко всем сайтам. Через несколько дней он открывает свою биржу по закладке, входит в систему как обычно и готовится проверить свои активы и совершить вывод.

 

Предположим, что расширение содержит вредоносный код и уже получило доступ к веб-сайту биржи. Риск может реализоваться следующим образом:

 

Сначала он считывает страницу и ищет возможности. Когда Лин открывает свои страницы активов и заказов, расширение считывает информацию, уже отображаемую или загруженную на них. Оно может видеть этот контент без отдельного запроса доступа к API биржи или запроса у Лина его пароля снова.

 

Затем он изменяет то, что он видит или собирается отправить. Например, он может изменить адрес получателя, отображаемый на странице, изменить форму вывода или вставить окно «проверки безопасности», которое выглядит как будто оно исходит от платформы. Это возможные способы злоупотребления доступом к чтению и записи веб-страницы. Способен ли расширение продолжить выполнение чувствительных действий, по-прежнему зависит от процедур проверки и средств контроля рисков платформы.

 

Самая вводящая в заблуждение часть заключается в следующем: домен в адресной строке может оставаться правильным.

 

HTTPS защищает данные при передаче между вашим браузером и веб-сайтом. Он не предотвращает автоматически чтение или изменение веб-страницы локально авторизованным расширением. Поэтому проверка официального домена по-прежнему необходима, но она не заменяет проверку расширений вашего браузера.

 

Веб-сайт, который вы посещаете, может быть легитимным, но страница, которую вы видите, все еще может быть изменена вредоносным расширением браузера.

После входа в систему веб-сайты обычно используют сеансовые учетные данные для распознавания последующих запросов. Если злоумышленник получит действительные сеансовые учетные данные, он может попытаться использовать вашу существующую аутентифицированную сессию, вместо того чтобы начинать все заново с паролем и кодом подтверждения. Успех таких попыток также зависит от истечения срока действия сессии, проверок устройств и других механизмов безопасности.

 

Даже без кражи сессионных учетных данных вредоносное расширение может считывать страницы вашего аккаунта после обычного входа. Включение двухфакторной аутентификации не скрывает автоматически ваши балансы, ордера или формы вывода от расширений, имеющих разрешение на доступ к веб-странице. Проверка входа и разрешения на доступ к веб-странице выполняют разные функции.

4.1 Ограничьте доступ «Всем веб-сайтам» только тем, что действительно необходимо

В Chrome перейдите в Расширения → Управление расширениями → Подробности, чтобы проверить разрешения на доступ к сайтам для расширения. Для инструментов, которым не требуется постоянный доступ к веб-страницам, выберите опцию, позволяющую доступ только при нажатии на расширение, если она доступна. Для инструментов, которые работают только с несколькими сайтами, ограничьте доступ только этими конкретными сайтами. Точные названия опций могут отличаться в зависимости от версии и языка.

 

Инструмент для чтения статей не должен иметь постоянный доступ к вашей бирже и электронной почте просто для удобства. Предоставляйте доступ только при необходимости, а не оставляйте его постоянно включенным на всех веб-сайтах.

4.2 Поддерживайте чистую среду для торговли и электронной почты

Отделяйте торговые операции от тестирования новых расширений, скачивания незнакомых инструментов и подобных действий. Рассмотрите возможность использования отдельного браузера без ненужных расширений. Для операций с высокой стоимостью используйте отдельное устройство.

 

Не защищайте только страницы вашей биржи, позволяя при этом множеству расширений получить доступ к вашему привязанному почтовому аккаунту. Ваш почтовый ящик может получать ссылки для сброса пароля, уведомления о безопасности и сообщения о верификации, что делает его частью процесса восстановления аккаунта.

 

Режим инкогнито не гарантирует, что расширения отключены. Chrome позволяет отдельным расширениям работать в режиме инкогнито, если вы явно разрешите их, поэтому также проверьте эти настройки.

4.3 Пересмотрите доверие при установке или обновлении

Перед установкой расширения проверьте идентичность разработчика, убедитесь, что вы скачиваете его с официального источника, и ознакомьтесь с описанием его функций. Не принимайте решение исключительно на основе его названия, значка или рейтинга. Удалите расширения, которые вы больше не используете.

 

Если обновление запрашивает дополнительные разрешения, не принимайте их просто для восстановления функциональности. Когда расширение добавляет разрешения, вызывающие предупреждение, Chrome требует от пользователей принятия новых разрешений перед повторным включением. Воспринимайте этот запрос как возможность переоценить расширение, а не как обычное подтверждение.

 

Задайте себе вопрос: почему инструмент, который ранее отображал только рыночную цену, теперь нуждается в доступе к другим веб-сайтам или разрешении на чтение буфера обмена?

4.4 Сохраняйте защитные меры на уровне аккаунта

Включите двухфакторную аутентификацию платформы, торговый пароль и любые доступные ограничения на адреса для вывода. Перед осуществлением вывода сверьте полный адрес получателя, сеть и сумму с независимым, надежным источником. Не рассматривайте два отображения одной и той же информации на одной веб-странице как два независимых проверки.

 

Если адрес, кнопка или процесс верификации внезапно выглядят необычно, немедленно остановитесь и проверьте их через официальные каналы на надежном устройстве. Не продолжайте следовать инструкциям на подозрительной странице, чтобы «исправить ваш аккаунт».

Если вы подозреваете, что расширение вредоносное, перестаньте вводить пароли или коды подтверждения в этом браузере. Выполните следующие шаги по порядку:

1. Остановите чувствительные действия и изолируйте подозрительную среду. Не продолжайте вход в систему, создание ключей API или вывод средств. Запишите имя, версию и источник подозрительного расширения, затем отключите или удалите его. Закройте все открытые страницы аккаунта и выйдите из браузера. Также проверьте устройство на наличие другой подозрительной программы.

2. Используйте другое надежное устройство, чтобы проверить ваш аккаунт и минимизировать потенциальные потери. Используйте официальное приложение или перейдите непосредственно на официальный веб-сайт, чтобы просмотреть ваши заказы, историю выводов и настройки безопасности. Если вы обнаружите неавторизованную активность, немедленно свяжитесь с официальной службой поддержки и используйте любые доступные функции блокировки или ограничения аккаунта.

3. Возможна компрометация учетных данных и разрешений на адрес. В надежной среде измените все пароли, которые могли быть раскрыты, отмените подозрительные сеансы входа, удалите или замените потенциально скомпрометированные ключи API и проверьте наличие незнакомых адресов для вывода или изменений в настройках безопасности. Очистка куки-файлов на вашем устройстве не отменяет сеанс, удерживаемый злоумышленником; сеанс также должен быть отменен на сервере.

4. Также проверьте ваш привязанный email-аккаунт. Изучите недавние входы, методы восстановления, правила пересылки и разрешения на доступ третьих лиц. После обеспечения безопасности вашего аккаунта на бирже не оставляйте привязанный email доступным для других.

Если вы ввели seed-фразу или приватный ключ в подозрительное расширение, считайте эти данные скомпрометированными. Удаление расширения или изменение пароля разблокировки кошелька не сделает раскрытую seed-фразу или приватный ключ недействительными. Создайте новый кошелек с новой seed-фразой на доверенном устройстве, а затем аккуратно переведите на него соответствующие активы.

Расширение может предоставлять только перевод, уведомления или автозаполнение, но это не означает, что вам нужно предоставлять ему доступ ко всем веб-сайтам.

 

Перед установкой узнайте, какой доступ он требует. Во время использования ограничьте сайты, к которым он может обращаться. Если что-то кажется подозрительным, покиньте подозрительную среду в первую очередь, а затем решите вопрос безопасности вашего аккаунта.

 

Помните: 

Описание функции сообщает, что именно предназначено расширение. Его разрешения определяют, что оно имеет право делать. Защита вашего торгового аккаунта начинается с серьезного отношения к каждому запросу разрешений.