Chrome에 설치된 추가 기능을 감지하기 위한 툴킷이 게시되었습니다.

Chrome 브라우저에 설치된 추가 기능을 감지하는 방법을 구현하는 툴킷이 게시되었습니다. 추가 기능의 결과 목록은 화면 해상도, WebGL 기능, 설치된 플러그인 및 글꼴 목록과 같은 다른 간접 표시기와 함께 특정 브라우저 인스턴스의 수동 식별의 정확성을 높이는 데 사용될 수 있습니다. 제안된 구현에서는 1000개 이상의 추가 기능 설치를 확인합니다. 시스템을 테스트하기 위해 온라인 데모가 제공됩니다.

추가 기능의 정의는 외부 요청에 사용할 수 있는 추가 기능이 제공하는 리소스 분석을 통해 이루어집니다. 일반적으로 추가 기능에는 web_accessible_resources 속성에 의해 추가 기능 매니페스트에 정의된 이미지와 같은 다양한 동반 파일이 포함됩니다. Chrome 매니페스트의 첫 번째 버전에서는 리소스에 대한 액세스가 제한되지 않았으며 모든 사이트에서 제공된 리소스를 다운로드할 수 있었습니다. 매니페스트의 두 번째 버전에서는 기본적으로 해당 리소스에 대한 액세스가 추가 기능 자체에 대해서만 허용되었습니다. 선언문의 세 번째 버전에서는 어떤 추가 기능, 도메인 및 페이지에 어떤 리소스를 제공할 수 있는지 결정하는 것이 가능했습니다.

웹페이지는 가져오기 메서드(예: "fetch('chrome-extension://okb....nd5/test.png')")를 사용하여 확장 프로그램에서 제공하는 리소스를 요청할 수 있습니다. 일반적으로 "false"를 반환하면 이는 추가 기능이 설치되지 않았습니다. 추가 기능이 리소스 존재를 감지하지 못하도록 차단하기 위해 일부 추가 기능은 리소스에 액세스하는 데 필요한 확인 토큰을 생성합니다. 토큰을 지정하지 않고 가져오기를 호출하면 항상 실패합니다.

결과적으로 추가 기능 리소스에 대한 액세스 보호는 작업 실행 시간을 추정하여 우회할 수 있습니다. 토큰 없이 요청할 때 가져오기가 항상 오류를 반환한다는 사실에도 불구하고 추가 기능이 있는 경우와 없는 경우 작업의 실행 시간이 다릅니다. 추가 기능이 있는 경우 요청은 추가 기능이 있는 경우보다 오래 걸립니다. 설치되어 있지 않습니다. 반응 시간을 평가하면 보충제의 존재를 매우 정확하게 확인할 수 있습니다.

외부에서 액세스 가능한 리소스를 포함하지 않는 일부 추가 기능은 추가 속성으로 식별할 수 있습니다. 예를 들어, MetaMask 추가 기능은 window.ethereum 속성의 정의를 평가하여 정의할 수 있습니다(추가 기능이 설정되지 않은 경우 "typeof window.ethereum"은 "정의되지 않음" 값을 반환함).

출처 : opennet.ru