Avaldatud tööriist Chrome'is paigaldatud lisandite määramiseks

Avaldatud on tööriist, mis rakendab Chrome'i brauseris installitud laiendite määramise meetodit. Saadud laiendite nimekirja saab kasutada konkreetse brauseri eksemplari passiivse tuvastamise täpsuse suurendamiseks koos teiste kaudsete tunnustega, nagu ekraani eraldusvõime, WebGL-i omadused, installitud pistikprogrammide ja fontide loendid. Pakutud rakendus kontrollib üle 1000 laiendi installimist. Oma süsteemi testimiseks on saadaval online-demonstratsioon.

Lisade määratlemine toimub analüüsi kaudu, mis põhineb lisade jaoks pakutud ressurssidest, mis on saadaval välistele päringutele. Üldjuhul sisaldavad lisad erinevaid abifailide, nagu pildid, mis on määratletud lisa manifestis omaduse web_accessible_resources kaudu. Esimeses Chrome'i manifesti versioonis ei olnud ressurssidele juurdepääs piiratud ja igasugune veebisait sai laadida pakutud ressursse. Teises versioonis anti sarnastele ressurssidele vaikimisi juurdepääs ainult iseendale. Kolmandas versioonis anti võimalus määrata, millised ressursid võivad olla kätkida, millistele lisadele, domeenidele ja lehtedele.

Veebilehed saavad küsida lisas sisalduvaid ressursse meetodi fetch (näiteks "fetch('chrome-extension://okb....nd5/test.png')") kaudu, mille tagastamine väärtuse "false" näitab tavaliselt, et lisa ei ole paigaldatud. Mõned lisad genereerivad ressursile juurdepääsu jaoks vajaliku kontrolltunnuse, et blokeerida lisa määratlemine ressursside olemasolu järgi. Fetchi kutse ilma tunnuseta lõpeb alati ebaõnnestumisega.

Kuidas selgub, juurde pääsmise kaitset lisanditele saab mööda hiilida, hinnates operatsiooni täitmise aega. Hoolimata sellest, et fetch, kui päring on ilma tokenseta, tagastab alati vea, operatsiooni täitmise aeg lisandi olemasolu korral erineb sellest, kui lisand ei ole installitud — kui lisand on olemas, nõuab päring rohkem aega kui siis, kui lisand puudub. Reaktsiooniaega hinnates saab üsna täpselt määrata, kas lisand on olemas.

Mõned lisandite, mis ei hõlma välistest allikatest ligipääsu, saab tuvastada täiendavate omaduste kaudu. Näiteks saab lisandi MetaMask tuvastada läbi window.ethereum omaduse hindamise (kui lisand ei ole installitud, tagastab «typeof window.ethereum» väärtuse «undefined»).

Allikas: opennet.ru