URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 115450
[ Назад ]

Исходное сообщение
"Google внедряет меры для противодействия вредоносным дополне..."

Отправлено opennews , 01-Окт-18 22:58 
Компания Google раскрыла (https://blog.chromium.org/2018/10/trustworthy-chrome-extensi...) планы по дальнейшему повышению защиты дополнений к Chrome и снижению числа вредоносных дополнений в каталоге  Chrome Web Store. В последнее время  участились случаи (https://www.opennet.me/opennews/art.shtml?num=48947) захвата (https://www.opennet.me/opennews/art.shtml?num=47035) контроля (https://www.opennet.me/opennews/art.shtml?num=46970) за популярными дополнениями в целях подстановки вредоносного кода. Также периодически всплывают факты  скрытого (https://www.opennet.me/opennews/art.shtml?num=49038) добавления (https://www.opennet.me/opennews/art.shtml?num=49143) авторами дополнений кода для сбора персональных данных или передачи во внешние сервисы данных о посещениях.

Для защиты пользователей  Chrome и предотвращения появления в Chrome Web Store вредоносных дополнений  запланированы следующие изменения:


-  В  Chrome 70 пользователь сможет  ограничить действие дополнения определённым списком сайтов или включить режим активации дополнения на каждой странице только после явного клика на значке дополнения в панели. Указанные возможности позволят защитить пользователя от скрытого совершения нецелевых действий, таких как выуживание со страницы персональных данных или подстановка рекламы, вызванных злонамеренными действиями создателей или захватом третьими лицами контроля за дополнениями. Конечной целью вносимых изменений является предоставление пользователю механизмов для управления и отслеживания ситуаций, когда дополнение может получить доступ к данным просматриваемого сайта.

-  В каталоге дополнений будет модернизирован процесс рецензирования кода. Все дополнения, запрашивающие слишком большие полномочия, будут проходить дополнительную проверку. Отдельное внимание будет уделяться выявлению дополнений, использующих код, загружаемый с внешних серверов. Разработчикам дополнений рекомендовано запрашивать только минимум необходимых полномочий и включать весь код непосредственно в архив с дополнением;

-  В Chrome Web Store запрещено размещение дополнений, в которых применяется техники запутывания кода (obfuscation) с целью приведения его к нечитаемому виду, затрудняющему восстановление алгоритма работы. В том числе запрещено использование кода и ресурсов, загружаемых с внешних хостов. Новые правила применяются с сегодняшнего дня ко всем новым дополнениям. Размещённые ранее дополнения должны избавиться от подобного кода до 1 января 2019 года, в противном случае они будут удалены из каталога.


По статистике Google более 70% вредоносных и нарушающих правила дополнений, заблокированных в Chrome Web Store, включали нечитаемый код. Наличие запутанного кода существенно усложняет процесс рецензирования, негативной влияет на производительность и повышает расход памяти. Попытка оправдать запутывание защитой пропритарного кода не выдерживает критики, так как подобные техники мало помогают от обратного инжиниринга.


Отдельно подчёркивается, что минимизация кода (сокращение имён переменных и функций, слияние JavaScript-файлов, удаление лишних пробелов, комментариев, переводов строк и разделителей) по прежнему остаётся разрешённой, речь только о запутывании кода, например, скрытия кода в блоках base64.

-  В 2019 году для разработчиков дополнений станет обязательным применение двухфакторной аудентификации при доступе к учётным записям в Chrome Web Store. Для достижения более высокого уровня защиты также рекомендуется использовать аутентификацию (https://landing.google.com/advancedprotection/) на базе физических ключей;

-  В 2019 году планируется предложить третью версию формата файла-манифеста, в котором будут предложены новые возможности для усиления безопасности, приватности и производительности. Целью новой версии манифеста является упрощение создания безопасных и высокопроизводительных дополнений, и усложнение возможности создания небезопасных и медленных дополнений.


Намеченной цели планируется добиться предлагая более узкоспециализированные и декларативные API, позволяющие ограничить потребность в более широком доступе и предлагающие оптимальные с точки производительности решения. Кроме того, ожидается появление возможности фонового выполнения работ при помощи Service Workers и предоставление дополнительных упрощённых механизмов, позволяющих пользователю управлять полномочиями расширений.

URL: https://blog.chromium.org/2018/10/trustworthy-chrome-extensi...
Новость: https://www.opennet.me/opennews/art.shtml?num=49378


Содержание

Сообщения в этом обсуждении
"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 01-Окт-18 22:58 
> В том числе запрещено использование кода и ресурсов, загружаемых с внешних хостов.

прощайте блокировщики рекламы, списки теперь не загрузить.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено rstp14 , 01-Окт-18 23:07 
Почему? Просто будет каждый день обновление блокировщика.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 01-Окт-18 23:08 
Будут в основой пакет правила включать и обновления выпускать каждый день.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Бабка на базаре , 01-Окт-18 23:09 
Ясно.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 00:34 
>не отличает код и ресурсы от данных

1 код: разраб внутри аддона (в манифесте или хтмлках) прописал URL внешнего js скрипта. В привилегированный контекст грузится код из внешнего источника, что есть риск безопасности.
2 ресурсы: разраб внутри аддона (в манифесте или хтмлках) прописал URL внешнего css или картинки. В интерфейс браузера грузится внешний контент, что необоснованная угроза приватности (можно отслеживать запуски браузера по логам) и показ рекламы - конкуренция Гуглу.
3 то же самое, но с подгрузкой аяксом


Списки блокировки и юзерскрипты сюда не попадают: юзерскрипты пользователь ставит сам, а списки блокировки активным когтентом не являются и домой не звонят.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 02:16 
а чем отличается картинка от списка с правилами блокировки?

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 05:31 
В исходный код картинки при желании можно запихнуть скрытый код, который будет незаметен.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Адекватный Аноним , 02-Окт-18 10:51 
Тем, что картинку не имеет никакого смысла, кроме слежки и рекламы, выносить во внешний ресурс и потом хотлинкить.

Т.е. если дополнение так делает, значит разработчик его либо недостаточно квалифицирован, либо намерен либо трекать, либо рекламировать, либо помогать это делать.

Списки же uBlockа - это то, что должно регулярно обновляться, и в этом в том числе смысл этого дополнения.

Я просто предполагаю, что правила интерпретируются адекватными людьми, а не теми, кто хочет прикопаться к каждой букве и интерпретировать правила чисто формально, что приведёт к нарушению работы стора и такого работника просто переведут на другую работу, не требующую здравого смысла, либо вообще уволят нахрен.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Пнннонььри , 02-Окт-18 18:49 
Либо ублок выкинут из магзика.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 21:13 
Если бы μBlock хотели выкинуть из каталога, то уже бы выкинули, пользуясь пунктом ToS, разрешающем владельцу сайта так делать, как выкинули XPrivacy и AdAway из Маркета.  Его не выкинули по одной простой причине - если так сделать, то народ ломанётся на ФФ.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Emily , 02-Окт-18 06:58 
Может, просто не пользоваться Гугл Хренью? Есть другие достойные браузеры на основе Хромиума.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено paulus , 02-Окт-18 07:16 
>Есть другие достойные браузеры на основе Хромиума.

Так ты же сам ответил, что эта хрень появится во всех хромоногих ;)


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Emily , 02-Окт-18 07:25 
Хром и Хромиум одно и тоже? Вы уверены?
P.S. Совет: ещё раз прочитайте мой ник.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 13:22 
Максим - певица (говорят)), извинити )

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Annoynymous , 02-Окт-18 09:20 
Ты сам-то понимаешь, что другие достойные браузеры на базе хромого используются только потому, что совместимы с расширениями хромого? Без расширений браузеры оказываются никому не нужны.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 01-Окт-18 23:13 
Ничего личного, просто собирать ваши личные данные право имеет только гугл.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 01-Окт-18 23:26 
Пацаны, что думаете про ungoogled-chromium?

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 01-Окт-18 23:28 
Работает как следует

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено dimqua , 02-Окт-18 00:21 
> Our favorite infosec expert (whom we’ve cited before on a few matters) SwiftOnSecurity, let us know today that Ungoogled Chromium is a student project and doesn’t have the ability to update itself (and likely hasn’t been updated.) In that regard, we can’t recommend it.
> https://lifehacker.com/ungoogled-chromium-strips-away-the-pr...

Последнее время правда обновляется более-менее регулярно. А Inox помер и Iridium еле дышит. :-(


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 10:51 
> Ungoogled Chromium is a student project

С заменой по регекспу всех вшитых в браузер доменов и урлов справится любой студент. А патчи там отнюдь не только лишь авторства вышеназванного "student", но и от debian, inox, iridium, bromite etc. Т.е. проект опирается на уже имеющиеся, не "student project"-овские патчи.

> doesn’t have the ability to update itself

Впрочем, как и ванильный хромиум (не путать с хромом). В мире GNU/Linux обновлениями традиционно занимается пакетный менеджер, а не само приложение: осталось лишь оформить репозиторий для популярных дистров.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено dimqua , 02-Окт-18 17:14 
Может и так, но при наличии времени и желания. Автор уже один раз, как минимум, долгое время не обновлял патчи:

>Update as of September 2016: I, Eloston, am in a period of time where I do not have as much time as I had before to work on this project.

Не факт, что это не случится снова. Да и т.к. сборки делают волонтеры, на деле выходит, что задержка между обновлениями еще больше и не зависит от автора.

Не говоря уж о том, что патчи от сторонних разработчиков не панацея в принципе:

>Although it is the top priority to eliminate bugs and privacy-invading code, there will be those that slip by due to the fast-paced growth and evolution of the Chromium project.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 00:35 
Мозилла убирает модерацию каталога, гугл вводит. ппц.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Твоя мама , 02-Окт-18 10:46 
Это не совсем так. Mozilla убрала обязательную ручную модерацию *всех* дополнений, оставила только выборочную. Google же добавила выборочную, то есть сделала как Mozilla.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено AnonPlus , 02-Окт-18 00:36 
Вот возможность ограничить действие дополения определёнными сайтами, это круто. Надеюсь, в Firefox добавят такую фичу. Бывают случаи, когда какое-либо дополнение ломает работу сайта, сейчас приходится ждать, пока автор дополнения это исправит (если исправит), а тут можно самому добавить сайт в исключения.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено пох , 02-Окт-18 09:02 
мозильные дополнения уже сто лет как умеют включаться-выключаться на ходу, не требуя рестарта браузера. Если ты жить не можешь без какого-то уродца на каком-то суперуникальном сайте - ты и сейчас можешь это себе организовать.

а нужна такая фича, как обычно, десятой процента от всех нормальных пользователей мурзилы.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено AnonPlus , 03-Окт-18 00:34 
Чуешь разницу между "включать-выключать руками каждый раз" и "добавить в исключение"?

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено пох , 04-Окт-18 14:30 
ну да, первое ты можешь себе обеспечить самостоятельно, или вообще запустить отдельную копию именно для этого чудо-сайта, второе требует изменений кода, баги в которых затронут всех, а нужно оно почти никому. Выводы о вероятности реализации подобной фичи желающие да сделают.



"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 01:37 
как я понимаю, совместимость гугловских дополнений с мозилловскими webextensions станет от этих нововведений ещё меньше

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 09:33 
С учетом того, как нужно извернуться, чтобы добавить аддон из гугла в фф, проще сказать, что никакой совместимости не было изначально. Ну а с технической точки зрения ничего не поменяется.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 10:45 
Совместимость есть - она позволяет портировать аддоны между браузерами с небольшими издержками.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Kuromi , 02-Окт-18 05:10 
"В 2019 году для разработчиков дополнений станет обязательным применение двухфакторной аудентификации при доступе к учётным записям в Chrome Web Store. Для достижения ещё большего уровня защиты рекомендуется использовать аутентификацию на базе физических ключей."

Они выставляют такое требование только сейчас? Ну пусть с ними с физическими ключами, их еще купить надо, но скорее всего софтовую 2FA любой разработчик может сейчас включить.


"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 14:23 
В этом деле им главное - номера телефонов, а там уже пойдёт - локация, триальтерация и т.п.

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 07:52 
Как теперь будут работать радио-онлайн плееры?

"Google внедряет меры для противодействия вредоносным дополне..."
Отправлено Аноним , 02-Окт-18 09:43 
противодействует ЧУЖИМ вредоносным дополнениям. // вот так правильно