اگر کاربر وب باشید به احتمال خیلی زیاد با افزونه های مرورگرها که اکثر ما روزانه از آن ها استفاده می کنیم، آشنایی دارید. این افزونه ها در عین حال که ویژگی های بسیار مفیدی را به مرورگرها اضافه می کنند، قادرند امنیت و حریم خصوصی کاربر را نیز به خطر بیندازند. در این مقاله قصد داریم تا افرونه های مرورگرها را مورد آنالیز قرار دهیم و بیاموزیم که چگونه خطرات آن ها را به حداقل برسانیم. اما در ابتدا بهتر است افزونه ها را بهتر بشناسیم و کارایی آن ها را مشاهده کنیم.
افزونه های مرورگر چه چیزهایی هستند و چرا ما به آن ها نیاز داریم؟
افزونه ی مرورگر چیزی شبیه یک پلاگین برای مرورگر شما است که توابع و ویژگی های خاصی را به آن اضافه می کند. افزونه ها می توانند رابط کاربری را تغییر دهند یا قابلیت های زیادی را به سرویس مرورگر شما اضافه کنند.
به عنوان مثال افزونه ها برای مسدود سازی تبلیغات بر روی صفحات وب، ترجمه ی متن از زبانی به یک زبان دیگر یا افزودن صفحاتی به یک سرویس بوک مارک شخص ثالث همانند Evernote یا Pocket مورد استفاده قرار می گیرند. افزونه ها گونه های مختلفی دارند، صدها یا حتی هزاران گونه از آن ها سودمندی، سفارشی سازی، خریدها، بازی ها و چیزهای دیگر به کار برده می شود.
تقریبا تمام مرورگرهای محبوب از افزونه ها پشتیبانی می کنند، شما می توانید آن ها را برای کروم، اینترنت اکسپلورر، اپرا، اج، Safari و Chromium بیابید. آن ها به طور گسترده ای در دسترس و بسیاری از آن ها مفید هستند. از همین رو بسیاری از کاربران افزونه های بسیاری را روی مرورگرهای خود نصب می کنند. اما همانطور که در بالا به آن اشاره کردیم افزونه ها علی رغم اینکه می توانند مفید باشند اما خطرناک هستند و می توانند امنیت کاربر را به خطر بیندازند.
چه چیز خطرناکی در رابطه با افزونه ها می تواند وجود داشته باشد؟
افزونه های مخرب
اول از همه باید بگوییم که افزونه ها می توانند بسیار مخرب باشند. مخرب بودن آن ها اغلب از جایی نشات می گیرد که افزونه ها با وب سایت های شخص ثالث می آیند. گاهی اوقات با اندروید و گوگل پلی بدافزارها وارد می شوند و عامل تخریبگر می شوند.
به عنوان مثال محققان امنیتی اخیرا چهار افزونه را در فروشگاه گوگل کروم یافته اند که به عنوان برنامهی استیکی بی ضرر برای یادداشت های روزانه معرفی شده بود اما در واقعیت کلیک بر روی آن ها جنبه ی درآمد برای سازندگان آن افزونه بود.
افزونه ها چگونه عمل می کنند؟ افزونه ها برای انجام فعالیت های خود به مجوز نیاز دارند. مشکل اینجا است که مرورگرها اغلب تایید را از کاربران نمی گیرند و تنها گوگل کروم است که از کاربر برای این مجوزها تایید می گیرد. مرورگرهای دیگر به صورت پیش فرض به افزونه ها اجازه فعالیت می دهند و کاربر در این تصمیم هیچ نقشی نخواهد داشت.
با این حال اگر چه گوگل کروم بر افزونه ها مدیریت دارد و از کاربر برای تک تک آن ها اجازه می گیرد اما در عمل تایید و عدم تایید کاربر هیچ فرقی ندارد و افزونه ها کار خود را انجام میدهند.
حتی افزونه های ابتدایی مجوز خواندن و تغییر تمام اطلاعاتی که شما بر روی وب سایت مشاهده می کنید را دارند. آن ها می توانند تمام اطلاعات شما را بدون آن که متوجه باشید تحت کنترل داشته باشند. حتی اگر شما اجازهی اختیارات به آن ها ندهید، تغییری در روند آن ها رخ نخواهد داد.
هایجک و خرید افزونه ها
افزونه های مرورگرها هدف جالبی برای کلاهبرداران است زیرا تعداد زیادی از افزونه ها مبنای کاربری بزرگی دارند و به صورت اتوماتیک آپدیت می شوند. یعنی اگر کاربر یک افزونه بدون خطر را نیز دانلود کرده باشد با آپدیت میتواند به بدافزار تبدیل شود. این آپدیت می تواند کاربر را با مشکل مواجه سازد، در حالیکه کاربران معمولا توجهی به این موارد ندارند.
یک توسعه دهنده خوب هرگز چنین کاری انجام نمی دهد اما حساب کاربری آن ها می تواند هایجک شده و یک آپدیت نادرست در فروشگاه رسمی آن ها آپلود شود. در واقع این اتفاقی است که وقتی کلاهبرداران با فیشینگ اختیار و دسترسیهای یک توسعه دهنده پلاگین معروف به نام کپی فیش (Copyfish) را میگیرند، رخ می دهد. در مورد پلاگین، کلاهبرداران برای نمایش تبلیغات اضافی به کاربران از تشخیص اپتیکی کاراکترها بهره میگیرند.
گاهی اوقات توسعه دهندگان توسط شرکت هایی که پیشنهاد خرید افزونه هایشان را می دهند هدف قرار میگیرند. کسب درآمد از افزونه ها معمولا سخت است و به همین دلیل است که اکثر توسعه دهندگان به قبول چنین پیشنهادهایی تن در میدهند. پس از اینکه شرکت افزونه را خریداری کرد می تواند با مشخصات منفی آن را آپدیت کند و این آپدیت کاربران را تحت تاثیر قرار می دهد. به عنوان مثال این دقیقا همان اتفاقی است که برای Particle، یکی از افزونه های معروف کروم برای شخصی سازی یوتیوب رخ داد که توسط توسعه دهندگانش رها شد و یک شرکت پس از خریداری به سرعت آن را به یک ابزار تبلیغاتی تبدیل نمود.
مخرب نیستند اما خطرناک هستند
حتی افزونه هایی که مخرب نیستند، می توانند خطرناک باشند. علت خطر آن ها می تواند به این خاطر باشد که اکثر افزونه ها قادرند اطلاعات زیادی را از کاربران جمع آوری کنند (به خاطر داشته باشید که افزونه ها قادر به خواندن و تغییر تمام اطلاعاتی که در وب سایت ها مشاهده می کنید، میباشند). آن ها از این راه کسب درآمد می کنند، به این صورت که برخی از داده های جمع آوری شده از طرق شخص ثالث ها بفروش می رسانند و این یکی از راه هایی است که اغلب توسعه دهندگان از طریق افزونه ها به آن می پردازند.
مشکلی که در این مورد وجود دارد این است که گاهی اوقات داده ها آنقدرها هم ناشناس نیستند و می تواند منجر به مشکلات جدی ای در خصوص حفظ حریم خصوصی شود: اشخاص ثالث هستند که داده های کاربران را خریداری می کنند و از این طریق می توانند پلاگین های کاربران را شناسایی کنند.
دقیقا این اتفاق برای Web of Trust، یک پلاگین محبوب که مورد استفادهی مرورگرهای کروم، فایرفاکس، اینترنت اکسپلورر، اپرا، Safari و سایر مرورگرها میباشد، رخ داد. این پلاگین برای رای دادن به وب سایت ها بر اساس نظر کاربران مورد استفاده قرار گرفت.
چگونه می توان از افزونه ها به صورت امن استفاده کرد؟
با وجود اینکه افزونه ها ویژگی هایی پر خط هستند اما برخی از آن ها واقعا مفید هستند و این موضوع دلیلی منطقی برای این است که شما نخواهید همه ی آن ها را حذف کنید. طبیعتا در هر راهی اگر جوانب احتیاط رعایت شود، شرایط متفاوت خواهد بود و اوضاع کمی بهتر خواهد شد. موارد زیر را هنگام استفاده از افزونه ها رعایت کنید:
• هرگز تعداد زیادی از افزونه ها را نصب نکنید. آن ها نه تنها بر عملکرد سیستم تاثیر می گذارند بلکه یک بردار بالقوهی خطرناک هستند.
• افزونه ها را تنها از فروشگاه های رسمی دانلود کنید. در فروشگاه های رسمی بررسی های لازم روی افزونه ها انجام می شود و از فیلتر محققان رد خواهند شد.
• به مجوزهایی که افزونه ها نیاز دارند حتما توجه داشته باشید. اگر یک افزونه که قبلا در سیستم شما نصب شده است یک درخواست جدید برای تایید مجوز از شما داشته باشد، این درخواستی مشکوک است که باید مورد بررسی قرار بگیرد. این افزونه ممکن است هایجک یا فروخته شده باشد. همیشه قبل از اینکه هر افزونه ای نصب کنید خوب فکر کنید که آیا واقعا به آن نیاز دارید؟ آیا عملکرد این افزونه با برنامه های شما مطابقت دارد یا خیر و سپس آن را نصب کنید. اگر شما نمی توانید هیچ توضیح منطقی برای مجوزهای خود پیدا کنید بهتر است که آن را نصب نکنید.
• از یک راهکار امنیتی قابل اعتماد استفاده کنید. اینترنت سکیوریتی کسپرسکی می تواند کدهای مخرب را در افزونه های مرورگر شناسایی و آن ها را خنثی کند. راهکارهای امنیتی ما از یک دیتابیس گسترده از افزونه های مخرب استفاده می کنند که به طور منظم آپدیت می شود و افزونه های بسیاری روزانه در آن اضافه می شود.
