«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Одноклассники.ру)
•
0 likes•4,020 views
OWASP Russia Meetup #6 (https://www.meetup.com/OWASP-Russia/events/237926192/)
![16
9.1. Vendor-specific Extensions and Addons
Policy enforced on a resource SHOULD NOT interfere with the operation of user-
agent features like addons, extensions, or bookmarklets. These kinds of features
generally advance the user’s priority over page authors, as espoused in [HTML-
DESIGN].
http://www.w3.org/TR/CSP3/#extensions
… we model extensions more or less as an application of the user's will, and … we
prioritize the user above the site. This means that the extension is explicitly allowed to
do things that the site owner would prefer that it not do.
https://bugs.chromium.org/p/chromium/issues/detail?id=634265](https://image.slidesharecdn.com/svatikova-malicious-chrome-extensions-170311180259/85/-16-320.jpg)
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Одноклассники.ру)
- 1. Развлекательная социальная сеть Одноклассники 2017 Что мы знаем про вредоносные расширения Хрома
- 3. 3
- 4. 4
- 6. 6 Расширения в Хроме https://developer.chrome.com/extensions/overview - Manifest file - Background pages - Event pages - Content Scripts
- 7. 7 Что могут расширения - Подписываться на события - Выполнять код в контексте произвольного домена - Изменять DOM - chrome.* APIs - Inline установка
- 8. 8 Что могут плохие расширения - Слушать ввод, собирать данные - Выполнять код в контексте вашего домена - Изменять интерфейс - Изменять настройки браузера
- 9. 9 В чем проблема - Content Scripts => Same Origin Policy - Вирус на js - Плохо обнаруживаются антивирусами - Не вызывают подозрений пользователя
- 10. 10 Подмена рекламы в браузерах Данные: https://security.googleblog.com/2015/05/new-research-ad-injection-economy.html статистика Google, 2015 % 5.5
- 12. 12
- 13. 13 Отчеты о нарушении Content Security Policy
- 15. 15 Ой
- 16. 16 9.1. Vendor-specific Extensions and Addons Policy enforced on a resource SHOULD NOT interfere with the operation of user- agent features like addons, extensions, or bookmarklets. These kinds of features generally advance the user’s priority over page authors, as espoused in [HTML- DESIGN]. http://www.w3.org/TR/CSP3/#extensions … we model extensions more or less as an application of the user's will, and … we prioritize the user above the site. This means that the extension is explicitly allowed to do things that the site owner would prefer that it not do. https://bugs.chromium.org/p/chromium/issues/detail?id=634265