Popüler Chrome uzantıları ne kadar büyük bir risk taşır?

Chromium'a geçmek üzereyim ve birkaç uzantı yükledim. Bir uzantı yüklediğimde, uzantının hangi verilere erişebileceği konusunda bilgilendirildim, örneğin:

Uzantının çalışması için bu verilere erişimin gerekli olduğunu anlıyorum, ancak böyle bir uzantının bir gün tüm tarama verilerimi güncellemeye ve çalmaya ("telefon ana") karar vereceğinden biraz endişeliyim.

Korkunç bir mesajın başka bir örneği (gizli pencereler için uzantıları etkinleştirirken):

Uyarı: Chromium, uzantıların tarama geçmişinizi kaydetmesini engelleyemez. Bu uzantıyı gizli modda devre dışı bırakmak için bu seçeneğin işaretini kaldırın.

Popüler Chrome uzantılarını kullanırken bu olası bir tehdit mi? Tarayıcıya eklediğiniz her yeni işlev için başka bir tarafa güvenmek biraz korkutucu.

Aşağıdakileri unutuyorsunuz:

Bir uzantı ne kadar popüler olursa, hiç kimsenin eklentinin zararlı bir şey yaptığını fark etme şansı o kadar küçük olur.

Bunun aksine, daha önce kimsenin kullanmadığı bir uzantı yüklerseniz, diyelim ki AdBlock'u yüklemekten daha fazla risk alıyorsunuz. Pek çok insanın bunu kullandığını düşünürsek, şunu söylemek neredeyse güvenlidir: Birisi alışılmadık trafiği fark ederdi.

Aslında, tüm uzantılar kaynak kodlarını açıklar, böylece herkes temel olarak devam edebilir ve şüpheli herhangi bir şeyi arayabilir.

Uyarılar sadece oradadır, bu nedenle verilerinizle ilgili hileli bir şey yüklerseniz tarayıcı satıcılarını herhangi bir hasar için suçlayamazsınız. Yüklemeden önce daima şüpheli görünen eklentilerin yorumlarını okuyun.

Ayrıca, örneğin Google'ın gönderimleri kontrol edebileceğini de unutmayın:

Google, Ürünleri veya içeriklerini izlemekle yükümlü olmasa da, Google, Ürünlerinizi ve kaynak kodlarını bu Sözleşme, Google Chrome Web Mağazası Program Politikaları ve yürürlükteki diğer tüm şartlar, yükümlülükler, yasalar açısından inceleyebilir veya test edebilir veya yönetmeliklere tabidir ve bu incelemeyi yapmak için otomatik araçlar kullanabilir

Bir uzantının kaldırılması elbette geliştirici için bazı sorunlara neden olabilir.

Yapmaya çalışmak zor bir risk değerlendirmesi. Popülerlik iki şey getirir:

• Geliştirmeye çalışan daha fazla kişi (kötü kodu tespit ederek)
• Daha büyük bir kullanıcı tabanına saldırmak için daha fazla kişi onu hacklemeye çalışıyor (ve kötü kod getiriyor)

Bu örnekler için, github gibi bir şeyde barındırılan kod içeren açık kaynaklı bir projeden bahsettiğimizi varsayalım.

Bir şeyin bir geliştiricisi varsa, bu sadece bir kişi kodu kontrol eder. Birisi (geliştirici değil) buna kod eklemek isterse, geliştiriciyi kötü amaçlı bir yama eklemek için kandırması (olur) veya kodu kendileri ekleyebilmeleri için geliştiricinin kimlik doğrulamasını hedeflemesi gerekir (ayrıca olur). Bunlardan herhangi birinin gerçekleşme şansı, geliştiricinin yeteneğine ve güvenliklerine bağlıdır.

10 geliştirici varsa, saldırı vektörlerinden 10 kat daha fazladır. Ama aynı zamanda 10 kat daha fazla insan kodu tespit edebilir.

Eminim bir projede insanların kodlarında düzenli güvenlik denetimleri yapmaları için yeterli ivme kazanacak bir nokta vardır. Ama ondan önce herhangi bir zamanda, salıncaklar ve kavşaklar.

tl; dr Gerçekçi çalışmak için çok zor. Çok fazla insan unsuru var. Önemliyse, kodu kendiniz doğrulayamadıkça ona güvenmeyin.