Byl zveřejněn nástroj s implementací metody pro určení rozšíření nainstalovaných v prohlížeči Chrome. Získaný seznam rozšíření může být použit pro zvýšení přesnosti pasivní identifikace konkrétní instance prohlížeče, v kombinaci s jinými nepřímými znaky, jako je rozlišení obrazovky, vlastnosti WebGL, seznamy nainstalovaných pluginů a písem. Navrhovaná implementace kontroluje více než 1000 rozšíření. Pro ověření vašeho systému byla navržena online demonstrace.
Určení rozšíření se provádí analýzou zdrojů poskytovaných rozšířeními, které jsou dostupné pro externí požadavky. Obvykle rozšíření zahrnují různé přidružené soubory, jako jsou obrázky, které jsou v manifestu rozšíření definovány vlastností web_accessible_resources. V první verzi manifestu nebyl přístup k zdrojům omezen a jakákoli stránka mohla načíst poskytované zdroje. Ve druhé verzi manifestu byl přístup k podobným zdrojům ve výchozím nastavení povolen pouze pro samotné rozšíření. Ve třetí verzi manifestu byla poskytnuta možnost určit, které zdroje mohou být přístupné jakým rozšířením, doménám a stránkám.
Webové stránky mohou požadovat zdroje dodávané v rozšíření pomocí metody fetch (například „fetch('chrome-extension://okb….nd5/test.png')“), přičemž vrácení hodnoty „false“ obvykle naznačuje, že rozšíření není nainstalováno. Aby se zabránilo určení rozšíření na základě přítomnosti zdrojů, některá rozšíření generují kontrolní token, který je nezbytný pro přístup ke zdroji. Volání fetch bez uvedení tokenu vždy končí neúspěchem.
Jak se ukázalo, ochranu přístupu k zdrojům rozšíření lze obejít posouzením doby provádění operace. I když fetch při požadavku bez tokenu vždy vrací chybu, doba provádění operace se liší mezi přítomností a nepřítomností rozšíření — pokud je rozšíření přítomno, požadavek bude trvat déle, než pokud rozšíření není nainstalováno. Posouzením doby reakce lze poměrně přesně určit přítomnost rozšíření.
Některá rozšíření, která nezahrnují externě dostupné zdroje, lze identifikovat podle dalších vlastností. Například rozšíření MetaMask lze rozpoznat hodnocením vlastnosti window.ethereum (pokud není rozšíření nainstalováno, vrátí „typeof window.ethereum“ hodnotu „undefined“).
Zdroj: opennet.ru
