2009-12-21 20 views
9

आधुनिक दिन ब्राउज़रों की अधिक शक्तिशाली सुविधाओं में से एक सॉफ्टवेयर डेवलपर्स को उपयोगकर्ता द्वारा देखी गई पृष्ठों को बढ़ाने, संशोधित करने और ट्विक करने के लिए ब्राउज़र एक्सटेंशन लिखने की क्षमता है। चूंकि हमारे अधिकांश जीवन ब्राउज़र पर माइग्रेट हो जाते हैं, क्या हम संभावित रूप से खतरनाक नहीं होने वाले ब्राउज़र एक्सटेंशन की स्थापना द्वारा बनाई गई विशाल गोपनीयता और सुरक्षा छेद के लिए खुद को उजागर कर रहे हैं?ब्राउज़र सुरक्षा कितनी बड़ी सुरक्षा जोखिम है?

मुझे एहसास है कि इन एक्सटेंशन का स्रोत कोड निकालने योग्य और पठनीय है अगर लेखक ने व्यवहार को खराब करने का प्रयास नहीं किया है। लेकिन इस प्रकार की समीक्षा की प्रभावशीलता ब्राउज़र द्वारा उपयोगकर्ताओं को अपने एक्सटेंशन को अद्यतित रखने के लिए प्रोत्साहित करती है। जबकि एक्सटेंशन का संस्करण 1.0 निर्दोष हो सकता है, उपयोगकर्ता ब्राउज़र संस्करण 1.1 में अपग्रेड करने का सुझाव दे सकता है जिसमें दुर्भावनापूर्ण कोड हो सकता है जिसका उपयोग समझौता किए गए ब्राउज़र की स्क्रीन से जानकारी को स्क्रैप करने के लिए किया जा सकता है।

ब्राउज़र एक्सटेंशन के उपयोगकर्ता और डेवलपर दोनों के रूप में, डेवलपर की प्रतिष्ठा उनके उपयोगकर्ताओं को आश्वासन प्रदान करने के लिए एकमात्र चीज है कि उनकी ब्राउज़िंग गतिविधि सुरक्षित रहेगी? उपयोगकर्ताओं को एक समझौता ब्राउज़र एक्सटेंशन से बचाने में मदद करने के लिए कोई तंत्र है?

क्या एक्सटेंशन विकसित करने के लिए कोई सर्वोत्तम अभ्यास है जो उपयोगकर्ताओं को आश्वासन देता है कि वे जो कोड स्थापित करते हैं और अपडेट करते हैं वह प्रकृति में सौम्य है?

उत्तर

4

ब्राउज़र एक्सटेंशन लगभग कुछ भी कर सकते हैं जो उपयोगकर्ता कर सकता है। वे आपके बैंक पासवर्ड भेज सकते हैं, स्थानीय डिस्क पर फाइलें पढ़ सकते हैं, आदेश निष्पादित कर सकते हैं। ब्राउज़र की सुरक्षा न केवल ब्राउज़र पर ही, बल्कि सभी स्थापित एक्सटेंशन पर भी निर्भर करती है।

+2

यह हमेशा मुझे कई प्रकार के एक्सटेंशन इंस्टॉल करने से रोकता है। वहाँ कुछ वास्तव में बहुत अच्छे हैं, लेकिन जब मैं क्रोम में एक्सटेंशन इंस्टॉल करता हूं (उदाहरण के लिए) और यह कहता है, "यह एक्सटेंशन आपके द्वारा देखे जाने वाले प्रत्येक वेब पेज पर सभी निजी डेटा तक पहुंच सकता है" मैं रुकता हूं और फैसला नहीं करता हूं। बदबू आ रही है क्योंकि मैं भी बहुत सारी कार्यक्षमता छोड़ रहा हूं। – JasCav

2

इंटरनेट एक्सप्लोरर Browser Helper Objects बेहद असुरक्षित हैं। वे मूल रूप से ब्राउज़र को मूल कोड चलाने की अनुमति देते हैं, जो कुछ भी हो सकता है। मुझे यकीन नहीं है कि वे अभी भी व्यापक रूप से व्यापक हैं क्योंकि वे पिछले कुछ वर्षों में थे, लेकिन वे इंटरनेट एक्सप्लोरर फ़ायरफ़ॉक्स और अन्य ब्राउज़रों की तुलना में बहुत कम सुरक्षित क्यों हैं।

मोज़िला स्टाइल प्लग-इन XUL का उपयोग करके और माइक्रोसॉफ्ट के Silverlight प्लग-इन दुर्भावनापूर्ण व्यवहार को रोकने और रोकने के लिए sandboxed हैं। आखिरकार यह किसी भी प्रकार के सॉफ़्टवेयर के लिए डेवलपर की प्रतिष्ठा पर निर्भर करता है जिसे अपने उपयोगकर्ताओं द्वारा भरोसेमंद समझा जा सकता है। यहां तक ​​कि ऐसे मामलों में जहां डेवलपर मैलवेयर लिखने की कोशिश नहीं कर रहा है, कार्यक्रम में कीड़े सुरक्षा शोषण का पर्दाफाश कर सकती हैं।

+3

मोज़िला प्लग-इन (उदाहरण के लिए फ्लैश, जावा) और मोज़िला एक्सटेंशन (उदाहरण के लिए फायरबग, एडब्लॉक) के बीच अंतर है। एक्सटेंशन sandboxed नहीं हैं। –

-4

यही कारण है कि आपके पास एकाधिक मशीनें हैं, और यदि आप एक नया खर्च नहीं कर सकते हैं, तो अधिकांश सामान चलाने और इसके व्यवहार की निगरानी करने के लिए वर्चुअल मशीन का उपयोग करें। मैं कुछ भी करने से पहले कम से कम क्या करता हूं।

RnVja3Mgd2l0aCBtZSBmYW0hIGhpdCBtZSB1cCBhdCB0aGVib3NzODkwN0B5YWhv by5jb20gaWYgeW91IGhhdmUgYW55IHF1ZXN0aW9ucw ==

4

मैं हाल ही में क्रोम के लिए कुछ एक्सटेंशन लिखा है, और मुझे पता नहीं कितना नुकसान एक्सटेंशन वास्तव में उस से पहले कर सकता था।

  • एक्सटेंशन अनुमतियों के लिए पूछते हैं, लेकिन ये बहुत व्यापक हैं। कोई गैर-तुच्छ विस्तार अधिकतर "पूर्ण अनुमति" मांगने के लिए समाप्त हो जाएगा, और अधिकतर उपयोगकर्ता "हाँ" बटन को धक्का देंगे। यहां तक ​​कि एक तकनीकी समझदार उपयोगकर्ता इसे वैध के रूप में बंद कर सकता है, मुझे पता है कि मेरे पास है।

  • अधिकतर एक्सटेंशन निःशुल्क हैं। उन्हें कोड करने के लिए समय और धन खर्च होता है, तो डेवलपर्स अपने निवेश को वापस कैसे प्राप्त कर रहे हैं? कुछ इसे मज़ेदार करते हैं, लेकिन क्रोम वेब स्टोर विशेष रूप से पूछता है कि क्या आप जोड़ना इंजेक्ट करने की योजना बना रहे हैं - मैं केवल यह समझ सकता हूं कि यह विस्तार डेवलपर्स के लिए एक आम प्रथा है। एक्सटेंशन ट्रैकिंग कुकीज़ के रूप में भी कार्य कर सकते हैं, और जो भी आंकड़े आंकड़े बेच सकते हैं।

  • यह एक ऐसा एक्सटेंशन लिखना बहुत छोटा है जो आपके पासवर्ड को ग्लोब करेगा और उन्हें किसी तीसरे पक्ष को भेज देगा। भले ही ये पासवर्ड 'सहेजे गए' हों। मेरे एक्सटेंशन में से एक के सभी पृष्ठों पर सभी इनपुट फ़ील्ड को संशोधित करने के लिए एक वैध उपयोग केस था, और मुझे पता चला कि क्रोम सादा पाठ में संग्रहीत पासवर्ड में खुशी से पेस्ट-पेस्ट करेगा। सीसी जानकारी के लिए भी चला जाता है।

  • कई एक्सटेंशन में एनालिटिक्स पैकेज शामिल हैं, डेवलपर्स को यह पहचानने में सहायता करने के लिए कि उनके उपयोगकर्ता कौन हैं, ऐप के कौन से हिस्से उपयोग किए जाते हैं और आगे। मुझे लगता है कि यह एक वैध उपयोग मामला है, लेकिन आप जरूरी नहीं हो सकते हैं।

  • यदि आप एक डेवलपर हैं, तो सलाह दीजिये कि क्रोम एक्सटेंशन पेज लोड समय पर काफी प्रभाव डाल सकता है। मेरा अपना विस्तार, जिसे मैंने जितना संभव हो उतना हल्का वजन के रूप में अनुकूलित किया, जिसके कारण सभी पृष्ठों में अतिरिक्त 50-200ms लोड समय हो गया।

तो मैंने देखा है कि क्या संभव है, मैंने अपने स्वयं के अलावा क्रोम में सभी एक्सटेंशन अक्षम कर दिए हैं। मैं वास्तव में केवल एडब्लॉक याद करता हूं।