פורסמה ערכת כלים לזיהוי תוספות המותקנות ב-Chrome

פורסמה ערכת כלים המיישמת שיטה לזיהוי תוספות המותקנות בדפדפן כרום. ניתן להשתמש ברשימת התוספות המתקבלת כדי להגביר את הדיוק של זיהוי פסיבי של מופע דפדפן מסוים, בשילוב עם אינדיקטורים עקיפים אחרים, כגון רזולוציית מסך, תכונות WebGL, רשימות של תוספים וגופנים מותקנים. היישום המוצע בודק התקנה של יותר מ-1000 תוספות. מוצעת הדגמה מקוונת לבדיקת המערכת שלך.

הגדרת התוספות נעשית באמצעות ניתוח של המשאבים שמספקים התוספות, הזמינים לבקשות חיצוניות. בדרך כלל, תוספות כוללות קבצים נלווים שונים, כגון תמונות, המוגדרות במניפסט התוסף על ידי המאפיין web_accessible_resources. בגרסה הראשונה של מניפסט Chrome, הגישה למשאבים לא הוגבלה וכל אתר יכול להוריד את המשאבים שסופקו. בגרסה השנייה של המניפסט, גישה למשאבים כאלה כברירת מחדל הותרה רק עבור התוסף עצמו. בגרסה השלישית של המניפסט ניתן היה לקבוע אילו משאבים ניתן לתת לאילו תוספות, דומיינים ודפים.

דפי אינטרנט יכולים לבקש את המשאבים שמספקת התוסף באמצעות שיטת האחזור (לדוגמה, "fetch('chrome-extension://okb....nd5/test.png')"), שהחזרת "false" מציינת בדרך כלל שהתוסף אינו מותקן. כדי לחסום תוסף מזיהוי נוכחות של משאב, תוספים מסוימים מייצרים אסימון אימות הנדרש כדי לגשת למשאב. קריאת אחזור מבלי לציין אסימון תמיד נכשלת.

כפי שמתברר, ניתן לעקוף הגנה על גישה למשאבי תוספים על ידי הערכת זמן הביצוע של הפעולה. למרות העובדה שאחזור תמיד מחזיר שגיאה בעת בקשה ללא אסימון, זמן הביצוע של הפעולה עם ובלי התוסף שונה - אם התוסף קיים, הבקשה תיקח יותר זמן מאשר אם התוסף אינו מותקן. על ידי הערכת זמן התגובה, אתה יכול לקבוע במדויק את נוכחות התוסף.

ניתן לזהות תוספים מסוימים שאינם כוללים משאבים נגישים חיצונית על ידי מאפיינים נוספים. לדוגמה, ניתן להגדיר את התוסף MetaMask על ידי הערכת ההגדרה של המאפיין window.ethereum (אם התוסף לא מוגדר, "typeof window.ethereum" יחזיר את הערך "undefined").

מקור: OpenNet.ru