Tarayıcı Eklentileri Nasıl İşlem Hesabınızı Görebilir? Verdiğiniz İzinler Düşündüğünüzden Daha Uzağa Gidebilir

Proje belgelerini okumak için bir çeviri uzantısı kurdunuz ve piyasanın durumunu takip etmek için bir fiyat uyarısı aracı eklediniz. Kurulum sırasında tarayıcınız, “Tüm web sitelerindeki tüm verilerinizi okuma ve değiştirme” izni istedi ve bunu fazla düşünmeden kabul ettiniz.

 

Ancak bu izin, makaleleri çevirmek veya fiyatları göstermekten çok daha fazlasına uzanabilir. Eklentinin erişimi, borsanızın web sitesini içeriyorsa, oturum açtıktan sonra açtığınız hesap sayfalarını okuyabilir ve hatta içeriklerini değiştirebilir. Bunu yapmak için hesabınızın şifresine veya API anahtarınıza gerek olmayabilir.

 

Spot hesabınızı korumak, yalnızca “Kim şifremi biliyor?” sorusunu sormaktan öteye geçer. Aynı zamanda sıklıkla gözden kaçırılan bir soruyu da sormak anlamına gelir: Benim önümdeki web sayfasını okumaya ve değiştirmeye kim izin veriliyor?

Bir tarayıcı eklentisi, araç çubuğunuzdaki sadece bir simgeden daha fazlasıdır. Uygun izinlerle, yetkili kapsamı içindeki web sitelerinde kod çalıştırabilir, sayfa içeriğini okuyabilir, sayfa düzenlerini ayarlayabilir ve okuduğu bilgileri eklentinin diğer bileşenlerine iletebilir. Çeviri ve otomatik doldurma gibi özellikler bu yeteneklere dayanır.

 

Sorun, web sitesi erişim izinlerinin bir uzantının nerede çalışabileceğini tanımlamasıdır, her eylemin amacınıza uyup uymadığını değil. “Bu proje özeti için bana çeviri yapmada yardımcı ol” ifadesi otomatik olarak “Sadece bu proje özeti oku” anlamına gelmez. Bir uzantıya tüm web sitelerine erişim izni verirseniz, bu erişim aynı zamanda borsanızı ve web postanızı da kapsayabilir.

 

Chrome örneği kullanılarak, aşağıdaki izinler ve yeteneklere özellikle dikkat edilmelidir. Bu yetenekler, verilen spesifik izinlere bağlıdır: tüm web sitelerine erişim, panoya erişim veya Cookies API aracılığıyla erişim anlamına gelmez.

 

İzin veya Yetenek	Uzantının Erişebileceği Şeyler	Potansiyel Hesap Riskleri
Web sayfalarını oku ve erişim iznine sahip olduğu sayfaları değiştir	Hesap sayfalarında zaten yüklenmiş metin, formlar, düğmeler ve bilgiler	Kötü niyetli bir uzantı, bakiyeleri, pozisyonları veya sipariş detaylarını okuyabilir veya sayfanın gösterimini ve giriş alanlarının içeriklerini değiştirebilir.
Pano okuyun veya yazın	Kopyalanmış metin, bir alıcı adresi gibi; tam yetenekler, eklentinin okuma izni, yazma izni veya her ikisi varsa bağlıdır.	Pano okuma erişimine sahip olan zararlı bir eklenti, kopyaladığınız hassas bilgileri okuyabilir. Panoya yazma erişimine sahipse, kopyaladığınız çekme adresini yapıştırmadan önce değiştirebilir.
Çerez API'si aracılığıyla web sitesi çerezlerine erişin	Oturum açılmış durumunuzu koruyan bilgileri içerebilecek yetkili web siteleri için çerezler	Eğer çalınan çerezler geçerli oturum kimlik bilgilerini içeriyorsa, bir saldırgan oturumunuzu ele geçirmeye çalışabilir. Chrome'da bu API aracılığıyla erişim, cookies izni ve ilgili web sitesi izinlerini gerektirir.

Aşağıdaki senaryo, belirli bir açıklanmış olayın bir açıklaması değil, riski göstermek için hayali bir durumdur.

 

İngilizce dilindeki makaleleri okumak için Lin bir çeviri eklentisi kurar ve bunun tüm web sitelerine erişimine izin verir. Birkaç gün sonra, yer iminden borsasını açar, sıradan şekilde giriş yapar ve varlıklarını incelemek ile bir çekim yapmak için hazırlanır.

 

Uzantının zararlı kod içerdiğini ve zaten borsanın web sitesine erişim izni verildiğini varsayın. Risk şu şekilde ortaya çıkabilir:

 

Öncelikle sayfayı okur ve fırsatlar arar. Lin, varlık ve sipariş sayfalarını açtığında, uzantı orada zaten görüntülenen veya yüklenen bilgileri okur. Bu içerik, borsanın API'sine ayrı bir erişim talebinde bulunmadan veya Lin'e tekrar şifresini girmesini istemeden görülebilir.

 

Sonrasında, kullanıcının gördüğü şeyi veya göndermek üzere olanı değiştirir. Örneğin, sayfada gösterilen alıcı adresini değiştirebilir, çekim formunu düzenleyebilir veya platformdan geldiğini gösteren bir “güvenlik doğrulama” penceresi ekleyebilir. Bunlar, web sayfası okuma ve yazma erişimini kötüye kullanmanın olası yollarıdır. Eklentinin hassas işlemler tamamlayıp tamamlayamayacağı hâlâ platformun doğrulama prosedürlerine ve risk kontrollerine bağlıdır.

 

En yanıltıcı kısım şudur: adres çubuğundaki alan adı hâlâ doğru olabilir.

 

HTTPS, tarayıcınız ile web sitesi arasında geçiş yapan verileri korur. Ancak yetkili bir eklentinin web sayfasını yerel olarak okumasını veya değiştirmesini otomatik olarak engellemez. Bu nedenle resmi domaini kontrol etmek hâlâ gerekli olmakla birlikte, tarayıcı eklentilerinizi incelemeyi yerine geçiremez.

 

Ziyaret ettiğiniz web sitesi geçerli olabilir, ancak gördüğünüz sayfa hâlâ zararlı bir tarayıcı eklentisi tarafından değiştirilmiş olabilir.

Giriş yaptıktan sonra siteler genellikle oturum kimlik bilgilerini kullanarak sonraki istekleri tanır. Bir saldırgan geçerli bir oturum kimlik bilgisi elde ederse, şifre ve doğrulama koduyla baştan başlamak yerine mevcut kimlik doğrulanmış oturumunu kullanmaya çalışabilir. Başarıları, oturum süresinin bitmesi, cihaz kontrolleri ve diğer güvenlik kontrollerine bağlıdır.

 

Oturum kimlik bilgilerini çalmadan bile, zararlı bir uzantı, normal şekilde giriş yaptıktan sonra hesap sayfalarınızı okuyabilir. İki faktörlü kimlik doğrulamayı etkinleştirmek, web sayfasına erişim izni verilen uzantılardan bakiyelerinizi, emirlerinizi veya çekim formlarınızı otomatik olarak gizlemez. Giriş doğrulama ve web sayfası erişim izinleri farklı amaçlara hizmet eder.

4.1 Tüm Web Siteleri Erişimini Gerçekten Gerekli Olanlara Sınırlayın

Chrome'da Eklentiler → Eklentileri Yönet → Ayrıntılar bölümüne giderek bir eklentinin site erişim izinlerini inceleyin. Web sayfalarına sürekli erişime ihtiyaç olmayan araçlar için, eklentiyi tıkladığınızda erişim izni veren seçeneği (varsa) tercih edin. Sadece birkaç web sitesini hedefleyen araçlar için erişimi yalnızca bu belirli sitelere sınırlayın. Tam seçenek adları sürüm ve dile göre değişebilir.

 

Bir makale okuma aracı, kolaylık olsun diye borsanıza ve e-posta hesabınıza sürekli erişim sahibi olmamalıdır. Gerektiğinde erişim verin, tüm web sitelerinde kalıcı olarak etkin bırakmayın.

4.2 Alım satım ve e-posta için temiz bir ortam koruyun

İşlem faaliyetlerinizi, yeni eklentileri test etmek, tanımadığınız araçları indirmek ve benzeri faaliyetlerden ayırın. Gereksiz eklentiler içermeyen ayrı bir tarayıcı kullanmayı düşünün. Yüksek değerli işlemler için ayrı bir cihaz kullanmayı düşünün.

 

Sadece borsa sayfalarınızı koruyun ve bağlı e-posta hesabınıza birçok uzantının erişimine izin vermeyin. Gelen kutunuz, şifre sıfırlama bağlantıları, güvenlik uyarıları ve doğrulama mesajları alabilir ve bu da hesap kurtarma sürecinin bir parçası haline gelir.

 

Gizli mod, eklentilerin devre dışı bırakıldığını garanti etmez. Chrome, açıkça izin verirseniz bireysel eklentilerin Gizli modda çalışmasına izin verir, bu nedenle bu ayarları da gözden geçirin.

4.3 Kurulum veya Güncelleme Yaparken Güveni Yeniden Değerlendirin

Bir eklenti yüklemeden önce geliştiricinin kimliğini kontrol edin, resmi bir kaynaktan indirdiğinizi onaylayın ve özellik açıklamasını inceleyin. Kararınızı yalnızca adı, simgesi veya puanlarına dayanarak vermeyin. Artık kullanmadığınız eklentileri kaldırın.

 

Bir güncelleme ekstra izinler istiyorsa, işlevselliği geri yüklemek için bunları basitçe kabul etmeyin. Bir eklenti, uyarı tetikleyen izinler eklediğinde, Chrome kullanıcıların yeniden etkinleştirmeden önce yeni izinleri kabul etmesini gerektirir. Bu isteği rutin bir onay olarak değil, eklentiyi yeniden değerlendirmenin bir fırsatı olarak görün.

 

Kendinize sorun: Daha önce yalnızca piyasa fiyatlarını gösteren bir araç neden artık daha fazla web sitesine erişime veya panoyu okuma iznine ihtiyaç duyuyor?

4.4 Hesap Düzeyindeki Güvenlik Önlemlerini Koruyun

Platformın iki faktörlü kimlik doğrulamasını, işlem parolasını ve mevcut tüm çekme adresi kısıtlamalarını etkinleştirin. Çekim yapmadan önce, tam alıcı adresini, ağı ve miktarı bağımsız, güvenilir bir kaynakla doğrulayın. Tek bir web sayfasında aynı bilginin iki kez görüntülenmesini iki bağımsız kontrol olarak kabul etmeyin.

 

Bir adres, düğme veya doğrulama süreci aniden farklı görünüyorsa, yaptığınız işi durdurun ve güvenilir bir cihazda resmi kanallardan doğrulayın. "Hesabınızı düzeltmek" için şüpheli bir sayfada verilen talimatları takip etmeyin.

Bir eklentinin zararlı olduğundan şüpheleniyorsanız, o tarayıcıda şifrelerinizi veya doğrulama kodlarınızı girmeyi durdurun. Aşağıdaki adımları sırayla uygulayın:

1. Hassas faaliyetleri durdurun ve şüpheli ortamı izole edin. Giriş yapmaya, API anahtarları oluşturmak veya çekimler yapmaya devam etmeyin. Şüpheli uzantının adını, sürümünü ve kaynağını kaydedin, ardından onu devre dışı bırakın veya kaldırın. Açık olan tüm hesap sayfalarını kapatın ve tarayıcıdan çıkın. Ayrıca cihazınızda başka şüpheli yazılımlar olup olmadığını kontrol edin.

2. Hesabınızı kontrol etmek ve olası kayıpları sınırlamak için başka güvenilir bir cihaz kullanın. Siparişlerinizi, çekim geçmişinizi ve güvenlik ayarlarınızı incelemek için resmi uygulamayı kullanın veya doğrudan resmi web sitesine gidin. Yetkisiz aktivite bulursanız, hemen resmi müşteri desteğine başvurun ve mevcut hesap dondurma veya kısıtlama özelliklerini kullanın.

3. Adres potansiyel olarak güvenlik kimlik bilgilerini ve yetkilerini compromete etti. Güvenli bir ortamda, maruz kalabilecek tüm şifreleri değiştirin, şüpheli oturumları iptal edin, potansiyel olarak compromete edilmiş API anahtarlarını silin veya değiştirin ve tanımadığınız çekme adreslerini veya güvenlik ayarlarındaki değişimleri kontrol edin. Kendi cihazınızda çerezleri temizlemek, bir saldırganın tuttuğu oturumu geçersiz kılmaz; oturum sunucuda da iptal edilmelidir.

4. Bağlı e-posta hesabınızı da kontrol edin. Son oturum açmaları, kurtarma yöntemleri, iletim kuralları ve üçüncü taraf erişim izinlerini gözden geçirin. Borsa hesabınızı güvence altına aldıktan sonra, bağlı e-posta hesabınızın başkaları tarafından erişilebilir kalmasına izin vermeyin.

Şüpheli bir eklentiye bir cüzdan anahtar cümlesi veya özel anahtar girdiyseniz, bu kimlik bilgilerini compromised olarak kabul edin. Eklentiyi silmek veya cüzdan uygulamasının kilidini açma şifresini değiştirmek, maruz kalan anahtar cümlesini veya özel anahtarı geçersiz kılmaz. Güvenilir bir cihazda yeni bir anahtar cümlesiyle yeni bir cüzdan oluşturun ve ardından ilgili varlıkları dikkatlice bunlara transfer edin.

Bir uzantı, yalnızca çeviri, uyarı veya otomatik doldurma sağlayabilir, ancak bunun için her web sitesine erişim vermeniz gerekmez.

 

Yüklemeden önce hangi erişimlere ihtiyaç duyduğunu sorun. Kullanırken, erişebileceği siteleri sınırlayın. Bir şey yanlış gibi görünürse, önce şüpheli ortamdan çıkın, ardından hesabınızın güvenliğini ele alın.

 

Hatırlayın: 

Özellik açıklaması, bir eklentinin ne yapmayı amaçladığını söyler. İzinleri ise neye izin verildiğini belirler. Spot hesabınızı korumak, her izin isteğini ciddiye almakla başlar.