Milhares de extensões do Google Chrome comprometem a segurança dos utilizadores

Milhares de extensões do Google Chrome comprometem a segurança dos utilizadores

28 Maio, 2021 0 Por Sandro Sotto

A Google lançou recentemente a versão 91 do Chrome, mas isso não impediu os pesquisadores de segurança de computador do CISPA Helmholtz Center de examinar as 186.000 extensões do Chrome Web Store. O objectivo era o de verificar se essas extensões desactivavam, ou não, os cabeçalhos de segurança para ligações HTTP.

Esses cabeçalhos HTTP de segurança são especialmente projectados para impedir muitos ataques cibernéticos, como o envio de dados corrompidos, ou a exploração de várias vulnerabilidades. Por exemplo, o cabeçalho HSTS (HTTP Strict Transport Security) usa criptografia de dados (certificado SSL) para evitar que os seus dados sejam interceptados por agentes mal-intencionados enquanto está a navegar. Outro exemplo, o cabeçalho Public Key Pinning protege o utilizador contra a emissão não autorizada de certificados e, portanto, evita ataques Man-in-the-Middle usados ​​em particular para roubar credenciais de acesso, ou outros dados. No entanto, e segundo os resultados obtidos pelos pesquisadores, 2.485 extensões removem pelo menos um dos seguintes quatro cabeçalhos HTTP:

  • O protocolo HSTS
  • XFO (X-Frame options) que protege os visitantes de um site contra a técnica de clickjacking (permite que o utilizador seja redirecionado para um conteúdo diferente daquele escolhido pelo mesmo)
  • O XCTO (X Content Type Options) que protege o servidor contra tentativas de farejar tipos MIME (permite que um invasor execute certas operações perigosas contra o site ou o utilizador)
  • O CSP (Política de Segurança de Conteúdo) que impede que um invasor introduza scripts maliciosos na página principal de um site
Chrome Web Store

Extensões do Chrome Web Store ignoram os cabeçalhos HTTP

O melhor de tudo é que 533 extensões removem esses quatro cabeçalhos simultaneamente. Conforme especificam os pesquisadores, não há necessariamente uma vocação para prejudicar a segurança do utilizador, os programadores dessas extensões preferem prescindir desses mesmos cabeçalhos para oferecer mais funcionalidades com o seu software.

No entanto, o resultado permanece o mesmo no final, com o risco de ataques cibernéticos para o utilizador dessas extensões do Google Chrome, que aumenta drasticamente.

VIA

Já deixou o seu like na nossa página do Facebook, no, Threads, do Instagram, do BlueSky e do X? Receba toda a informação em primeira mão. Siga-nos também no Google Notícias, basta seleccionar-nos entre os seus favoritos clicando na estrela.

Sandro Sotto

Licenciado em Educação Física e apaixonado por novas tecnologias e gadgets. O meu hobbie alem da família e os amigos são os desportos motorizados e mais recentemente comecei a dedicar-me ao mergulho.