มีการเผยแพร่ชุดเครื่องมือที่ใช้วิธีการตรวจจับส่วนเสริมที่ติดตั้งในเบราว์เซอร์ Chrome รายการส่วนเสริมที่เป็นผลลัพธ์สามารถใช้เพื่อเพิ่มความแม่นยำของการระบุเชิงรับของอินสแตนซ์เบราว์เซอร์เฉพาะ ร่วมกับตัวบ่งชี้ทางอ้อมอื่นๆ เช่น ความละเอียดหน้าจอ คุณลักษณะ WebGL รายการปลั๊กอินและแบบอักษรที่ติดตั้ง การใช้งานที่เสนอจะตรวจสอบการติดตั้งส่วนเสริมมากกว่า 1000 รายการ มีการสาธิตออนไลน์เพื่อทดสอบระบบของคุณ
คำจำกัดความของส่วนเสริมนั้นจัดทำขึ้นผ่านการวิเคราะห์ทรัพยากรที่ส่วนเสริมมอบให้ ซึ่งมีไว้สำหรับคำขอภายนอก โดยทั่วไปแล้ว ส่วนเสริมจะรวมไฟล์ต่างๆ ที่มาด้วยกัน เช่น รูปภาพ ซึ่งกำหนดไว้ในรายการส่วนเสริมโดยคุณสมบัติ web_accessible_resources ในเวอร์ชันแรกของไฟล์ Manifest ของ Chrome ไม่มีการจำกัดการเข้าถึงทรัพยากร และไซต์ใดๆ ก็สามารถดาวน์โหลดทรัพยากรที่ให้มาได้ ในรายการเวอร์ชันที่สอง การเข้าถึงทรัพยากรดังกล่าวตามค่าเริ่มต้นจะได้รับอนุญาตสำหรับส่วนเสริมเท่านั้น ในเวอร์ชันที่สามของแถลงการณ์ คุณสามารถกำหนดได้ว่าทรัพยากรใดที่สามารถมอบให้กับส่วนเสริม โดเมน และเพจใดได้
หน้าเว็บสามารถขอทรัพยากรที่ได้รับจากส่วนขยายโดยใช้วิธีการดึงข้อมูล (เช่น "fetch('chrome-extension://okb....nd5/test.png')") ซึ่งโดยปกติแล้วการส่งคืน "false" จะบ่งชี้ว่า ว่าไม่ได้ติดตั้งส่วนเสริม หากต้องการบล็อกส่วนเสริมไม่ให้ตรวจจับการมีอยู่ของทรัพยากร ส่วนเสริมบางตัวจะสร้างโทเค็นการยืนยันที่จำเป็นสำหรับการเข้าถึงทรัพยากร การเรียกดึงข้อมูลโดยไม่ระบุโทเค็นจะล้มเหลวเสมอไป
ปรากฎว่าการป้องกันการเข้าถึงทรัพยากรส่วนเสริมสามารถข้ามได้โดยการประมาณเวลาดำเนินการของการดำเนินการ แม้ว่าการดึงข้อมูลจะส่งกลับข้อผิดพลาดเสมอเมื่อร้องขอโดยไม่มีโทเค็น แต่เวลาดำเนินการของการดำเนินการที่มีและไม่มี Add-on จะแตกต่างกัน - หากมี Add-on อยู่ คำขอจะใช้เวลานานกว่าหาก Add-on ไม่ได้ติดตั้ง ด้วยการประเมินเวลาตอบสนอง คุณสามารถระบุการมีอยู่ของอาหารเสริมได้อย่างแม่นยำ
ส่วนเสริมบางอย่างที่ไม่มีทรัพยากรที่สามารถเข้าถึงได้จากภายนอกสามารถระบุได้ด้วยคุณสมบัติเพิ่มเติม ตัวอย่างเช่น สามารถกำหนด Addon ของ MetaMask ได้โดยการประเมินคำจำกัดความของคุณสมบัติ window.ethereum (หากไม่ได้ตั้งค่า addon "typeof window.ethereum" จะส่งกลับค่า "unknown")
ที่มา: opennet.ru