Nettleserutvidelsene dine kan se hvert passord du skriver inn

Nettleserutvidelser forbedrer funksjonaliteten til nettleseren, og de fleste av oss har minst ett tredjeparts tillegg installert. Jeg har alltid et knippe Chrome-utvidelser installert for produktivitet, og noen av dem er ting jeg virkelig ikke kan surfe uten. Annonseblokkere, verktøy for skjermbilder av hele siden, pris-sammenligningstjenere, de virker alle ganske harmløse.

Imidlertid kan noen av disse utvidelsene, inkludert de med tusenvis av femstjerners anmeldelser, se passordene dine mens du skriver dem inn på nettsteder. En sårbarhet i hvordan nettlesere deler sidedata med utvidelser gir dem ubegrenset tilgang til alt på en nettside, og noen har blitt tatt i å lekke sensitiv brukerinformasjon på grunn av dette.

En DOM-sårbarhet som eksponerer passordet ditt

Hvordan utvidelser leser det du skriver i vanlig tekst

Forskere ved University of Wisconsin-Madison fant ut at nettleserutvidelser kan få tilgang til passord som tastes inn på nettsteder, selv når de overholder Chromes nyeste sikkerhetsstandarder i Manifest V3. Teamet analyserte over 7 000 nettsteder og oppdaget at omtrent 15 % av dem lagret sensitiv informasjon som passord, kredittkortnumre og personnummer direkte i sidens HTML-kode som ren tekst.

Dette skjer på grunn av hvordan nettlesere håndterer DOM (Document Object Model), som er strukturen som representerer alt på en nettside. Når du skriver inn et passord, lagrer nettleseren denne verdien i et DOM-element som enhver utvidelse med riktige tillatelser kan lese. Utvidelser kan utnytte dette på tre hovedmåter: keylogging for å fange opp hver tastetrykk når det skjer, å få tilgang til HTML-kildekoden direkte for å hente lagrede verdier, og å misbruke DOM-APIer for å trekke ut verdier fra inntastingsfelt mens du skriver. Det er den siste metoden som er spesielt bekymringsfull fordi den omgår enhver visuell obfuskeringsmekanisme som prikker eller stjerner, som kun skjuler passordet fra skjermen din, ikke fra koden som kjører bak det.

Ironien er at nettlesere er konfigurert på denne måten med vilje. Legitime passordadministratorer må kunne lese og fylle ut disse feltene for å fungere riktig. Men den samme tilgangen gir en åpning for ondsinnede utvidelser. Selv Chromes nyeste Manifest V3-standard, som ble designet for å forbedre sikkerheten til utvidelser, skaper ikke en sikkerhetsgrense mellom utvidelser og nettstedsinnhold. Forskerne laget en proof-of-concept-utvidelse forkledd som en AI-assistent, sendte den til Chrome Web Store, og fikk den godkjent, noe som beviser hvor lett en skadelig utvidelse kan slippe gjennom.

Tillatelsesfellen

Pålitelige utvidelser som ble skadelige over natten

De fleste av oss installerer utvidelser som har blitt godkjent av de offisielle nettleserbutikkene, noe som gjør dem enkle å stole på. Vi klikker oss gjennom tillatelsesmeldinger uten å tenke oss om, inkludert den som sier Les og endre alle dataene dine på nettsteder du besøker. Den ene tillatelsen er alt en utvidelse trenger for å få tilgang til alt du skriver, inkludert passord.

Det som gjør dette verre, er at noen utvidelser opererer med et rent omdømme i flere år før de blir fiendtlige. ShadyPanda-kampanjen, som har pågått siden 2018, kompromitterte omtrent 4,3 millioner Chrome- og Edge-brukere ved å sende skadelige oppdateringer til tidligere legitime utvidelser. Noen av disse tilleggene fungerte uten problemer i syv år før de fikk sin første skadelige payload. WeTab, en ny fane-utvidelse for Microsoft Edge med over tre millioner installasjoner og tusenvis av positive anmeldelser, ble funnet å injisere skadelige lenker og sende nettleserdata til servere i Kina mens brukerne ikke hadde noen anelse om at noe hadde endret seg.

MEGA.nz Chrome-utvidelsen ble kompromittert i 2018, og lekket brukernavn, passord og kryptovalutanøkler fra anslagsvis 1,6 millioner brukere over fire timer før noen la merke til det. I 2024 ble CyberHavens nettleserutvidelse kapret gjennom et OAuth-phishingangrep og brukt til å hente ut informasjonskapsler, sesjons-tokens og Facebook-annonseringskonto-data fra over 400 000 brukere. Trust Wallets nettleserutvidelse ble utsatt for et lignende brudd som førte til omtrent 7 millioner dollar i kryptovalutatyveri.

Som du kanskje har lagt merke til nå, er dette ikke ukjente utvidelser fra ukjente utviklere. De var populære, godt anmeldte og betrodd av millioner, helt til de ikke var det.

Hva du kan gjøre for å beskytte deg selv

Redusere angrepsflaten din i alle nettlesere

Hvis du tror at det å bytte fra Chrome til Firefox løser dette, gjør det ikke det. DarkSpectre-sleeper-utvidelseskampanjen rammet nylig Firefox med sin GhostPoster-operasjon, der angripere skjulte onsket JavaScript inne i PNG-bildefiler ved bruk av steganografi. De berørte utvidelsene hadde over 840 000 nedlastinger på tvers av nettlesere, og noen hadde vært aktive i opptil fem år før forskere avslørte dem.

Mozilla har siden fjernet de berørte tilleggene og deaktivert dem i brukernes nettlesere, men Chrome- og Edge-brukere med de samme kompromitterte utvidelsene må fortsatt avinstallere dem manuelt. Dette viser at dette ikke bare er et Chrome-problem, men et problem i hele økosystemet for nettleserutvidelser, så det å bytte til en annen nettleser er ikke en løsning.

Den beste måten å beskytte deg selv på er å holde antallet utvidelser så lavt som mulig. Sjekk jevnlig hvilke utvidelser du har installert og fjern alt du ikke har brukt på en stund. Jeg ryddet nylig opp i gamle Chrome-utvidelser og innså at jeg hadde utvidelser jeg ikke hadde rørt på måneder. Før du installerer noe nytt, sjekk utviklerens legitimasjon, les gjennom nyere anmeldelser for noe mistenkelig, og still spørsmål ved utvidelser som ber om omfattende tillatelser de åpenbart ikke trenger.

Nettleseren din har sannsynligvis allerede innebygde funksjoner som erstatter vanlige utvidelser. Chrome har for eksempel nå en innebygd passordbehandler, sideoversettelse, leseliste og skjermbildefunksjoner som gjør flere populære utvidelser unødvendige. Færre utvidelser betyr færre mulige angrepspunkter for angripere.

For kontoene dine, bytt ut passord med passnøkler der du kan, og aktiver tofaktorautentisering på alt som støtter det. Passnøkler kan ikke fanges opp via DOM-tilgang siden det ikke er noe å skrive. Hold nettleseren din oppdatert, og vær oppmerksom på mistenkelig adferd som at faner åpner seg automatisk til gambling-, voksen- eller affiliatesider - det er ofte et tegn på at en utvidelse har gått rogue. Forskerne i Wisconsin anbefaler også at nettsteder endrer måten de håndterer sensitive inndatafelt på, slik at passord ikke eksponeres i HTML, men det er opp til utviklerne å fikse, ikke noe du kan kontrollere.

Vi bør være litt oppmerksomme på hva vi installerer

De mest farlige utvidelsene er ikke de som er laget for å være ondsinnede fra dag én, men de som er populære og godt vedlikeholdt og som blir kjøpt av en trusselaktør eller kompromittert gjennom et angrep på forsyningskjeden uten at brukerne noensinne vet det. Den ene dagen blokkerer de annonser eller administrerer faner, den neste høster de stille dine påloggingsopplysninger gjennom en oppdatering du aldri la merke til.

Det finnes ingen enkel løsning på dette. Nettleserbutikker gjør sitt beste med automatiserte gjennomganger og manuelle kontroller, men skjulte kampanjer har vist at de kan forbli uoppdaget i flere år. Det beste du kan gjøre er å holde utvidelseslisten kort, være skeptisk til tillatelser, og bruke passordnøkler og to-faktor-autentisering som et sikkerhetsnett for når noe uunngåelig skulle slippe gjennom.