Як браузерні розширення можуть бачити ваш торговий акаунт? Надані вами дозволи можуть бути ширшими, ніж ви думаєте

Ви встановили розширення для перекладу, щоб читати документацію проекту, та додали інструмент для встановлення цінових сповіщень, щоб стежити за ринком. Під час встановлення ваш браузер запитав дозвіл на «Читання та зміну всіх ваших даних на всіх веб-сайтах», і ви погодилися, не надавши цьому багато думок.

 

Але це дозвіл може поширюватися набагато далі, ніж просто переклад статей або відображення цін. Якщо доступ розширення включає веб-сайт вашої біржі, воно також може зчитувати сторінки акаунту, які ви відкриваєте після входу — і навіть змінювати їх вміст. Для цього йому не обов’язково потрібен ваш пароль акаунту чи ключ API.

 

Захист вашого торгового акаунту означає дивитися далі за питанням «Хто знає мій пароль?». Це також означає поставити часто не враховуване питання: хто має право читати та змінювати веб-сторінку переді мною?

Розширення браузера — це більше, ніж просто іконка на панелі інструментів. З відповідними дозволами воно може виконувати код на веб-сайтах у межах своєї авторизованої області, читати вміст сторінки, змінювати макети сторінок та передавати зчитану інформацію іншим компонентам розширення. Функції, такі як переклад та автозаповнення, ґрунтуються на цих можливостях.

 

Проблема в тому, що дозволи на доступ до веб-сайту визначають, де може працювати розширення, а не те, чи кожна дія відповідає вашій меті. «Допоможіть мені перекласти огляд цього проекту» не означає автоматично «Читати лише огляд цього проекту». Якщо ви надасте розширенню доступ до всіх веб-сайтів, цей доступ може також стосуватися вашої біржі та веб-пошти.

 

Наводячи приклад Chrome, наступні дозволи та можливості вимагають особливої уваги. Ці можливості залежать від конкретних наданих дозволів: доступ до всіх веб-сайтів не надає автоматичного доступу до буфера обміну чи доступу через API Cookies.

 

Дозвіл або можливість	Що може отримувати розширення	Потенційні ризики акаунту
Прочитайте та змініть веб-сторінки, до яких у вас є дозвіл	Текст, форми, кнопки та інформація, вже завантажені на сторінках акаунтів	Шкідливий розширення може читати баланси, позиції або деталі замовлень, або змінювати те, що відображається на сторінці, та вміст полів введення.
Прочитайте або запишіть у буфер обміну	Скопійований текст, наприклад, адреса отримувача; точні можливості залежать від того, чи має розширення дозвіл на читання, дозвіл на запис або обидва	З доступом до буфера обміну зловмисний розширення може читати конфіденційну інформацію, яку ви копіюєте. З доступом до запису в буфер обміну воно може замінити скопійовану адресу для виведення перед тим, як ви її вставите.
Отримайте доступ до файлів cookie веб-сайту через API файлів cookie	Куки для авторизованих сайтів, які можуть містити інформацію, що зберігає ваш стан входу	Якщо вкрадені файли cookie містять дійсні облікові дані сеансу, зловмисник може спробувати перехопити ваш сеанс. У Chrome доступ через цей API вимагає дозволу cookies та відповідних дозволів веб-сайту.

Наведене нижче є гіпотетичним сценарієм, що ілюструє ризик, а не описом конкретного розкритого інциденту.

 

Щоб читати статті англійською мовою, Лін встановлює розширення для перекладу і надає йому доступ до всіх сайтів. Кілька днів потому він відкриває свою біржу через закладку, входить як зазвичай і готується перевірити свої активи та здійснити вивід.

 

Припустимо, розширення містить шкідливий код і вже отримало доступ до веб-сайту біржі. Ризик може розгорнутися так:

 

Спочатку він читає сторінку і шукає можливості. Коли Лін відкриває свої сторінки активів і замовлень, розширення читає інформацію, яка вже відображається або завантажена там. Воно може бачити цей контент без окремого запиту доступу до API біржі або просити Ліна знову ввести свій пароль.

 

Потім він змінює те, що він бачить або збирається надіслати. Наприклад, він може змінити адресу отримувача, яка відображається на сторінці, змінити форму виведення або додати вікно «підтвердження безпеки», яке, здається, походить від платформи. Це можливі способи зловживання доступом до читання та запису веб-сторінки. Чи зможе розширення продовжити виконання чутливих дій, залежить від процедур перевірки та заходів контролю ризиків платформи.

 

Найбільш вводячою в оману частиною є те: домен у рядку адреси може залишатися правильним.

 

HTTPS захищає дані під час передачі між вашим браузером і веб-сайтом. Він не запобігає автоматично авторизованому розширенню читати або змінювати веб-сторінку локально. Тому перевірка офіційного домену все ще необхідна, але вона не може замінити перевірку розширень вашого браузера.

 

Вебсайт, який ви відвідуєте, може бути легітимним, але сторінка, яку ви бачите, все ще може бути змінена шкідливим розширенням браузера.

Після входу в систему веб-сайти зазвичай використовують сеансові облікові дані для визначення подальших запитів. Якщо зловмисник отримає дійсні сеансові облікові дані, він може спробувати використовувати вашу існуючу автентифіковану сесію, а не починати все спочатку з паролем та кодом підтвердження. Успіх такої спроби також залежить від терміну дії сесії, перевірок пристрою та інших заходів безпеки.

 

Навіть без викрадення сеансових облікових даних зловмисне розширення може зчитувати ваші сторінки акаунту після нормального входу. Увімкнення двофакторної автентифікації не приховує автоматично ваші баланси, замовлення чи форми виведення коштів від розширень, які мають дозвіл на доступ до веб-сторінки. Перевірка входу та дозволи на доступ до веб-сторінки виконують різні функції.

4.1 Обмежте доступ «До всіх веб-сайтів» лише тим, що дійсно необхідно

У Chrome перейдіть до Розширення → Управління розширеннями → Деталі, щоб перевірити дозволи на доступ розширення до сайтів. Для інструментів, які не потребують постійного доступу до веб-сторінок, виберіть опцію, яка дозволяє доступ лише під час кліку на розширення, якщо вона доступна. Для інструментів, які працюють лише з кількома сайтами, обмежте доступ лише цими конкретними сайтами. Точні назви опцій можуть варіюватися залежно від версії та мови.

 

Інструмент для читання статей не повинен мати постійний доступ до вашої біржі та електронної пошти лише для зручності. Надавайте доступ лише тоді, коли він потрібен, а не залишайте його постійно увімкненим на всіх веб-сайтах.

4.2 Підтримуйте чисте середовище для торгівлі та електронної пошти

Відокремлюйте торгівельну діяльність від тестування нових розширень, завантаження незнайомих інструментів та подібних дій. Розгляньте використання окремого браузера без зайвих розширень. Для транзакцій з високою вартістю розгляньте використання окремого пристрою.

 

Не захищайте лише сторінки вашої біржі, дозволяючи численним розширенням отримувати доступ до вашого зв’язаного електронного листа. Ваш скринька може отримувати посилання на скидання паролів, попередження безпеки та повідомлення про верифікацію, роблячи її частиною процесу відновлення акаунту.

 

Режим інкогніто не гарантує, що розширення вимкнені. Chrome дозволяє окремим розширенням працювати в режимі інкогніто, якщо ви явно дозволите їм, тому також перевірте ці налаштування.

4.3 Перевірте довіру під час встановлення або оновлення

Перед встановленням розширення перевірте ідентичність розробника, переконайтесь, що завантажуєте його з офіційного джерела, та ознайомтеся з описом функцій. Не приймайте рішення лише на основі назви, іконки або рейтингів. Видаліть розширення, якими більше не користуєтеся.

 

Якщо оновлення запитує додаткові дозволи, не приймайте їх просто для відновлення функціональності. Коли розширення додає дозволи, які викликають попередження, Chrome вимагає, щоб користувачі погодилися з новими дозволами перед повторним увімкненням. Сприймайте це запитання як можливість переоцінити розширення, а не як звичайне підтвердження.

 

Задайте собі питання: чому інструмент, який раніше лише відображав ринкову ціну, тепер потребує доступу до більшої кількості веб-сайтів або дозволу на читання буфера обміну?

4.4 Залиште на місці заходи безпеки на рівні акаунту

Увімкніть двофакторну автентифікацію платформи, торговий пароль та будь-які доступні обмеження адреси для виведення. Перед виведенням перевірте повну адресу отримувача, мережу та суму за допомогою незалежного, надійного джерела. Не вважайте дві покази однієї й тієї ж інформації на одній веб-сторінці двома незалежними перевірками.

 

Якщо адреса, кнопка або процес верифікації раптово виглядають незвично, зупиніться і перевірте їх через офіційні канали на надійному пристрої. Не продовжуйте дотримуватися інструкцій на підозрілій сторінці, щоб «виправити ваш акаунт».

Якщо ви підозрюєте, що розширення є шкідливим, припиніть введення паролів або кодів підтвердження в цьому браузері. Виконайте наступні дії послідовно:

1. Зупиніть чутливі дії та ізольовуйте підозріле середовище. Не продовжуйте входити, створювати ключі API чи здійснювати виведення коштів. Запишіть назву, версію та джерело підозрілого розширення, а потім вимкніть або видаліть його. Закрийте всі відкриті сторінки акаунту та вийдіть із браузера. Також перевірте свій пристрій на наявність іншого підозрілого програмного забезпечення.

2. Використовуйте інший надійний пристрій, щоб перевірити свій акаунт і обмежити потенційні втрати. Використовуйте офіційний додаток або перейдіть безпосередньо на офіційний веб-сайт, щоб перевірити свої замовлення, історію виведення та налаштування безпеки. Якщо ви виявите неавторизовану діяльність, негайно зверніться до офіційної служби підтримки та використовуйте будь-які доступні функції заморожування або обмеження акаунту.

3. Адреса може мати скомпрометовані облікові дані та дозволи. У надійному середовищі змініть будь-які паролі, які могли бути витікнені, скасуйте підозрілі сеанси входу, видаліть або замініть потенційно скомпрометовані ключі API, а також перевірте на наявність незнайомих адрес для виведення або змін у налаштуваннях безпеки. Очищення куків на вашому пристрої не скасовує сеанс, який тримає нападник; сеанс також повинен бути скасований на сервері.

4. Перевірте також ваш зв’язаний електронний акаунт. Перегляньте останні входи, методи відновлення, правила пересилання та дозволи на доступ сторонніх осіб. Після забезпечення безпеки вашого акаунту біржі не залишайте свій зв’язаний електронний акаунт доступним для інших.

Якщо ви ввели seed-фразу або приватний ключ гаманця у підозріле розширення, вважайте ці облікові дані скомпрометованими. Видалення розширення або зміна пароля розблокування додатка гаманця не зробить непридатними викрадену seed-фразу або приватний ключ. Створіть новий гаманець із ново згенерованою seed-фразою на надійному пристрої, а потім уважно перекажіть відповідні активи до нього.

Розширення може надавати лише переклад, сповіщення або автозаповнення, але це не означає, що вам потрібно надавати йому доступ до кожного веб-сайту.

 

Перед встановленням запитайте, який доступ він потребує. Під час використання обмежте сайти, до яких він має доступ. Якщо щось здається підозрілим, спочатку покиньте підозріле середовище, а потім вирішіть питання безпеки вашого акаунту.

 

Пам’ятайте: 

Опис функції розповідає, що має зробити розширення. Його дозволи визначають, що йому дозволено робити. Захист вашого торговельного акаунту починається з серйозного ставлення до кожного запиту на дозвіл.