يعمل تحديث Chrome على تعزيز تحكم المستخدم في الإضافات

بدءًا من الإصدار 25 من Google Chrome ، لن يتم تمكين إضافات المتصفح المثبتة في وضع عدم الاتصال بواسطة تطبيقات أخرى إلى أن يمنح المستخدمون الإذن من خلال مربع حوار في واجهة المتصفح.

في لدى مطوري البرامج العديد من الخيارات لتثبيت الإضافات دون الاتصال بالإنترنت - وليس باستخدام واجهة المتصفح - في Google Chrome لنظام التشغيل Windows. يتضمن أحدها إضافة إدخالات خاصة في سجل Windows تخبر Chrome بتثبيت إضافة جديدة ويجب تمكينها.

"تم تصميم هذه الميزة في الأصل للسماح للمستخدمين بالاشتراك في إضافة إضافة مفيدة إلى Chrome جزء من تثبيت تطبيق آخر ، "بيتر لودفيج ، مدير منتجات Google في Chrome Extensions ، قال يوم الجمعة في مشاركة مدونة. "للأسف ، تم إساءة استخدام هذه الميزة على نطاق واسع من قبل أطراف ثالثة لتثبيت الإضافات بصمت في Chrome بدون إقرار من المستخدمين بشكل صحيح."

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows لديك]

لمنع هذا النوع إساءة الاستخدام ، بدءًا من Chrome 25 ، سيعمل المتصفح تلقائيًا على تعطيل جميع الإضافات "الخارجية" التي تم تثبيتها سابقًا وسيقدم للمستخدمين مربع حوار لمرة واحدة لاختيار الإعلانات التي يريدون إعادة تمكينها.

بالإضافة إلى ذلك ، فإن جميع الإضافات التي يتم تثبيتها باستخدام الطرق غير المتصلة سيتم تعطيلها افتراضيًا وسيُسأل المستخدم عما إذا كان يريد تمكينها عند إعادة تشغيل المتصفح.

نفذت موزيلا آلية مشابهة جدًا منذ أكثر من عام في فايرفوكس لمنع الإضافات التي تم تثبيتها في وضع عدم الاتصال بواسطة البرامج الأخرى من أن يتم تمكينها دون تأكيد المستخدم.

مخاوف أمنية

استخدمت العديد من الهجمات إضافات المتصفح الضارة ، بما في ذلك إضافات Chrome. على سبيل المثال ، في أيار (مايو) ، أصدرت مؤسسة ويكيميديا ​​تنبيهًا حول إضافة Google Chrome كانت تدرج إعلانات مارقة في صفحات ويكيبيديا.

في يوليو ، توقفت Google عن السماح بتثبيت إضافات Chrome من مواقع ويب تابعة لجهات خارجية ، وتقييد عمليات التثبيت عبر الإنترنت فقط إلى الإضافات التي تم العثور عليها في Chrome Web Store الرسمي.

هذا جعل من الصعب على المهاجمين توزيع إضافات ضارة ، ولكن لم يمنع البرامج الضارة من تثبيت إضافات Chrome المارقة على نظام تم اختراقه بالفعل باستخدام الأساليب غير المتصلة بالإنترنت. تهدف التغييرات المقبلة في Chrome 25 إلى معالجة ذلك.

"أعتقد أنها خطوة جيدة في الاتجاه الصحيح ، وهي تجربة تصفح أكثر أمانًا" ، قال زولتان بالاز ، وهو باحث في أمن تكنولوجيا المعلومات من المجر ، يوم الاثنين عبر البريد الإلكتروني. أنشأ Balazs سابقًا إضافات ضارة لإثبات المفهوم لـ Firefox و Chrome و Safari من أجل إظهار مدى قوة هذه الأدوات في أيدي المهاجمين.

أظهر بحث Balazs الذي تم عرضه في العديد من المؤتمرات الأمنية هذا العام ، كيف يمكن لملحقات المتصفح المارقة التي يتم التحكم فيها عن بعد تعديل محتوى صفحات الويب ، التقاط لقطات شاشة من خلال كاميرا الويب الخاصة بالكمبيوتر ، العمل كوكيل HTTP عكسي في الشبكة الداخلية ، تنزيل ، تحميل ، وتنفيذ الملفات ، واستخدامها لتوزيع التجزئة الموزعة على كلمة المرور والمزيد.

على الرغم من أن التغييرات القادمة في Chrome 25 ستجعل الحياة أصعب بالنسبة إلى المهاجمين ، إلا أن قطعة من البرامج الضارة قد تحل محل تثبيت Chrome بالكامل بمنصة مستتردة ، بحسب بالاز. وأشار إلى أول "10 قوانين أمن غير قابلة للتغيير" كما نشرتها مايكروسوفت ، والتي تنص على ما يلي: "إذا تمكن شخص سيء من إقناعك بتشغيل برنامجه على جهاز الكمبيوتر الخاص بك ، فهذا ليس جهاز الكمبيوتر الخاص بك بعد الآن."

في يوليو ، عندما حظرت Google تثبيت إضافات Chrome من مواقع الويب التابعة لجهات خارجية ، قالت الشركة أيضًا إنها ستبدأ في تحليل جميع الإضافات المدرجة في سوق Chrome الإلكتروني بحثًا عن سلوك ضار ، وستتم إزالة الإضافات المسيئة.

احذر الحيل

على الرغم من ذلك ، تم العثور على إضافات ضارة في سوق Chrome الإلكتروني في مناسبات متعددة منذ ذلك الحين ، مما يشير إلى أنه يمكن تجاوز آلية الفحص والمراجعة في Google. في 30 أغسطس ، حذر باحثون من Barracuda Networks من أن محتالين على Facebook تمكنوا من خداع أكثر من 90،000 مستخدم لتثبيت عدة امتدادات كروم خبيثة مستضافة في سوق Chrome الإلكتروني قبل إزالة الإضافات من قِبل Google.

تنبيه 20 ديسمبر من Facecrooks ، مجموعة التي تراقب تهديدات Facebook ، حذرت من عملية خداع خدعت المستخدمين إلى تثبيت ملحق Chrome مزع من خلال المطالبة بتغيير نظام الألوان لملفهم الشخصي على Facebook.

وفقاً لـ Balazs ، حقيقة أن مطوري الإضافات الضارة يديرون تجاوز الويب Chrome لا تعتبر أنظمة اكتشاف البرمجيات الخبيثة في المتجر مثيرة للدهشة. "إنها نفس لعبة القط والفأر التي نراها بين مطوري البرمجيات الخبيثة وصناعة AV."

"الآن ، Google هي المعيار الأمني ​​عندما يتعلق الأمر بأمن تمديد المتصفح" ، بحسب بالاز. ومع ذلك ، تتمثل إحدى الخطوات الكبيرة إلى الأمام في Google في تعطيل بنية المكون الإضافي NPAPI القديمة (Netscape Plugin Applicationming Interface) في كل مكان - حيث يتم تعطيلها حاليًا في Chrome لـ Windows 8 Metro و Chromebook ، وتعزيز بنية العميل الأصلي الأكثر أمانًا والرمضية ، قال.