新聞名稱：瀏覽器的安全設計再加上網站漏洞，讓擴充程式可存取使用者密碼等機密資料
新聞網址：https://www.ithome.com.tw/news/158566

基礎知識

瀏覽器擴充程式（Browser Extension）

• 定義

  • 在瀏覽器上執行的小型程式，用於自定義和加強瀏覽器功能

粗粒度權限模型

（Coarse-Grained Permission Model）

• 定義

  • 該模型通常在較高層次賦予或拒絕訪問權限，不會細分到每一項功能或資料

• 範例

  • 一個擴充程式可能獲得存取所有網頁資料的權限，而不僅僅是特定網站或特定元素

最低權限原則（Principle of Least Privilege）

• 定義

  • 系統應該僅具備最低限度的必要存取權限，以完成特定任務

• 範例

  • 如果一個應用程式只需要讀取文件，則不應該有寫入或修改文件的權限

完全仲裁原則（Complete Mediation）

• 定義

  • 每次存取或操作都應該進行權限檢查，以確保合法性

• 範例

  • 每次一個使用者嘗試打開一個文件，系統都會檢查該使用者是否有足夠的權限

文件物件模型（Document Object Model，DOM）

• 定義

  • DOM 是一種表示和互動與網頁或 XML 文件的結構化方式

• 範例

  • 在網頁上看到一個表單或按鈕，屬於 DOM 的一部分，擴充程式可以互動和修改 DOM

明文（Plaintext）

• 定義

  • 沒有加密的資料或文字，容易被閱讀

• 範例

  • 當您在網站輸入密碼時，如果網站不安全，密碼可能會以明文形式儲存或傳輸，容易被駭客竊取

Manifest V2和V3

• 定義

  • Chrome 瀏覽器擴充程式的版本規格，規定了擴充程式如何執行和使用權限

• 範例

  • Manifest V3 為了增加安全性和隱私而推出，而 V2 版本的擴充程式可能有更多的安全漏洞

事件整理

研究背景與發現

• 美國威斯康辛大學麥迪遜分校的研究人員

• 違反的安全設計

• 結合網站漏洞可能機密資料外洩

涉及的瀏覽器

• Chrome

• Firefox

• Safari

研究詳細分析

• 粗粒度權限模型（Coarse-Grained Permission Model）

• 違反原則

  • 最低權限原則

  • 完全仲裁原則

• 擴充程式的權限問題

網站輸入欄位的安全漏洞

• 明文密碼

• DOM 的擴充程式問題

  • 從原始碼中獲取使用者的登入密碼

  • 1,100 個網站在HTML原始碼中直接顯示密碼

  • Google、Cloudflare 和 Doordash

攻擊驗證

• 惡意擴充程式製作

  • 17,300 款擴充程式

    • 有 12.5%具備所有網頁上機密資訊的必要權限

  • 190 款擴充程式

    • 可以直接存取密碼欄位

• Web Store 審核不足

  • 類似 ChatGPT 的能力

瀏覽器反應與現況

• Chromium 瀏覽器的 Manifest V3

• Safari 和 Firefox 的 Manifest V2 問題

  • 更容易遭到類似的攻擊

小試身手

研究中發現有多少比例的擴充程式具備汲取所有網頁上機密資訊的必要權限

• a. 10%

• b. 12.5%

• c. 15%

• d. 20%

• 答案

  • b. 12.5%

哪一個原則指出系統應該僅具備最低限度的必要存取權限

• A. 完全仲裁原則

• B. 最低權限原則

• C. 存取控制原則

• D. 安全中介原則

• 答案

  • B. 最低權限原則

哪一項原則表示每次存取都應該檢查權限？

• a. 最低權限

• b. 完全仲裁

• c. 直接存取

• d. 完全存取

• 答案

  • b. 完全仲裁

研究人員認為，Web Store 的哪個方面

需要改進

• A. 使用者介面

• B. 下載速度

• C. 擴充程式驗證系統

• D. 付款系統

• 答案

  • C. 擴充程式驗證系統

哪兩家公司被提到持續允許 Manifest V2

擴充程式

• A. Chrome 與 Edge

• B. Firefox 與 Safari

• C. Opera 與 Brave

• D. Edge 與 Opera

• 答案

  • B. Firefox 與 Safari