لقد كانت ملحقات المتصفح والإضافات موجودة منذ سنوات، وخلال تلك الفترة ظلت تشكل خطرًا أمنيًا كبيرًا. لا يتطلب الأمر سوى ملحق متصفح ضار واحد حتى تقع معلومات جهازك وسجل التصفح والمعلومات الأخرى في أيدي شركة أو فرد عشوائي. وهذا ليس خطرًا نظريًا أيضًا: فهو يحدث باستمرار.
تم تقديم هذه المقالة الخاصة بأسبوع التوعية بالأمن السيبراني إليك بالتعاون مع Incogni .
تم تصميم العديد من ملحقات المتصفح لتغيير محتويات كل صفحة تزورها، أو على الأقل التحقق من الروابط التي تزورها لأداء بعض الإجراءات. وهذا يتطلب أذونات مرتفعة لا تستطيع المتصفحات حمايتها بشكل معقول عندما تتعطل إحدى الملحقات، إلا من خلال حظرها بعد حدوث الضرر. إذا لم تكن قد قمت بذلك بالفعل، فقد حان الوقت لتقليص قائمة ملحقات المتصفح المثبتة لديك.
خطر الامتدادات
تعتمد ملحقات المتصفح الحديثة، مثل التطبيقات الخاصة بنظامي التشغيل Android وiPhone، على نموذج الأذونات. ومن المفترض أن تطلب فقط الأذونات المطلوبة تمامًا للميزات الموعودة. على سبيل المثال، ملحق متصفح Keepa يضيف رسومًا بيانية لتاريخ الأسعار وأزرارًا إضافية إلى صفحات منتجات أمازون، لذا فهو يطلب الوصول فقط إلى الصفحات على أمازون وموقع الويب الخاص بالامتداد. ولن يتمكن من رؤية بياناتك على YouTube أو موقع ويب بنكي أو ويكيبيديا أو أي شيء آخر.
ومع ذلك، فإن العديد من الإضافات أكثر عمومية وتتطلب الوصول إلى جميع الصفحات التي تزورها. وتندرج أدوات الكتابة والقواعد النحوية مثل Microsoft Editor وGrammarly ضمن هذه الفئة – حيث تتطلب إضافة ميزات فحص النص إلى كل صفحة (مدعومة) تزورها الحصول على إذن الوصول إلى جميع الصفحات. وهذا أمر مفهوم، ولكن الوصول إلى جميع الصفحات التي تزورها لا يزال يمثل مستوى عالٍ للغاية من الثقة، خاصة عندما يحدث الكثير من نشاط الكمبيوتر داخل متصفح الويب. وهذا ليس بعيدًا جدًا عن منح إذن المسؤول لتطبيق Windows.
حاولت جوجل ومايكروسوفت وموزيلا إدارة أذونات الامتدادات وتوفير بدائل أقل ترويعًا. على سبيل المثال، يمكن لبعض امتدادات المتصفح أن تطلب الإذن فقط علامة التبويب الحاليةبدلاً من تشغيل جميع مواقع الويب طوال الوقت (بما في ذلك علامات التبويب في الخلفية). كما تمنع بعض المتصفحات تشغيل الإضافات على مواقع ويب معينة حتى يتم السماح بها صراحةً. ومع ذلك، هناك عدد محدود من الاحتياطات التي يمكن اتخاذها إذا لم تتمكن الإضافة من العمل على الإطلاق دون الوصول إلى كل شيء.
في عام 2019، تم اكتشاف ملحقات Avast وAVG’s Online Security تسجيل بيانات زيارة الموقع وبيعها إلى Home Depot وGoogle وPepsi وشركات أخرى من خلال شركة Jumpshot التابعة لشركة Avast. في عام 2016، تم إصدار ملحق المتصفح الشهير Web of Trust بيع بيانات المستخدم القابلة للتعريف بعد أن زعمت أنها مجهولة المصدر. تم إزالة أربعة ملحقات مع أكثر من 500000 عملية تنزيل مجمعة في عام 2018 بعد استخدامها للنقر على إعلانات الصفحة دون علم المستخدمين. ملحق Grammarly يستخدم كتاباتك لتدريب نماذج الذكاء الاصطناعيوتستمر قائمة الأمثلة، وتستمر، وتستمر.
هناك أيضًا حالات “اختطاف” لإضافات المتصفح ونقلها إلى مطور آخر، مما يسمح بتحديث الامتداد بالبرامج الضارة. في عام 2017، قام منشئ الامتداد الشهير Web Developer for Chrome تم اختراق حسابه على جوجل، وتم استخدام الحساب المسروق لدفع تحديث يقوم بحقن الإعلانات في الصفحات. ولحسن الحظ، تم التراجع عن التحديث بسرعة، وتم حظر حسابات Google التي تحتوي على ملحقات منشورة على متجر Chrome الإلكتروني. مطلوب الآن استخدام المصادقة الثنائية لتقليل احتمالات التصيد الاحتيالي واستغلال القرصنة. كما تمتلك Mozilla أيضًا قاعدة مماثلة للمطورين الذين يقومون بنشر ملحقات Firefox.
تقليل المخاطر
يجب عليك بالتأكيد تقليل ملحقات المتصفح لديك إلى الحد الأدنى: حتى إذا كانت إحدى الملحقات آمنة الآن، فقد يتم تحديثها في المستقبل بالبرامج الضارة دون أن تدرك ذلك. في Google Chrome وMicrosoft Edge، يمكنك التحقق من قائمة الملحقات الخاصة بك بالانتقال إلى صفحة chrome://extensions. في Firefox، اكتب about:addons في شريط العناوين، أو انقر فوق قائمة شريط الأدوات الرئيسي وحدد “الإضافات والمظاهر”. قم بإلغاء تثبيت أي شيء لا تحتاج إليه على الإطلاق.
إذا كنت تحتاج إلى بعض الإضافات في بعض الأحيان، ولكنك تريد الحفاظ على أمان معظم عمليات التصفح، فيمكنك أيضًا تثبيت متصفح ثانوي مع الإضافات التي تقتصر على هذا التطبيق. تحتوي بعض الإضافات أيضًا على مواقع ويب ذات وظائف مماثلة كبديل. على سبيل المثال، يمكنك نسخ ولصق نص في تطبيق الويب Grammarly للتحقق من الأخطاء الإملائية والنحوية، بدلاً من تثبيت الإضافة والسماح لها بتسجيل كل صفحة تزورها. هذا أقل ملاءمة ويستغرق وقتًا أطول، ولكنه أكثر أمانًا.