Компания Google рассказала о новых правилах для разработчиков браузерных плагинов. Они призваны повысить безопасность расширений и снизить до минимума возможность попадания в магазин Chrome вредоносного ПО. Теперь к загрузке не допустят плагины с обфусцированным кодом, а при авторизации на платформе для разработчиков введут двухфакторную аутентификацию. Появятся инструменты контроля и у пользователей: они смогут самостоятельно решать, стоит ли давать расширениям доступ к определенным веб-страницам.

Первыми вступили в силу новые требования к читаемости кода. С 1 октября 2018 года вводится запрет на обфускацию. Разработчики часто специально преобразуют код, чтобы затруднить анализ программы и тем самым защитить ее от взлома или кражи. Однако это создает сложности и для команды Chrome Web Store, которая занимается проверкой расширений, — изучение обфусцированного кода значительно замедляет ее работу. Кроме того, к усложнению кода для восприятия активно прибегают злоумышленники. Более 70% вредоносных расширений, удаленных из магазина, содержали непрозрачные фрагменты.

По словам специалистов Google, такая ситуация более неприемлема. Разработчикам обфусцированных расширений, уже размещенных в магазине, предоставили срок в 90 дней (до 1 января 2019 года) на то, чтобы внести необходимые изменения в свои плагины. Новые расширения с непрозрачным кодом в Chrome Web Store пропускать не будут. Такая политика действует в отношении как самих плагинов, так и кода из сторонних источников.

Это требование не касается минификации кода, так как это уменьшает размер файла, ускоряет выполнение программы и не усложняет процесс проверки. Разработчикам расширений по-прежнему позволяется сокращать имена переменных и функций, уменьшать количество JavaScript‑файлов, а также удалять пробелы, переносы строки и разделители блоков.

Изменения коснутся и процесса одобрения расширений. Особо пристальное внимание эксперты Google будут обращать на плагины, требующие особых прав или включающие код из внешних источников. Разработчикам рекомендуют максимально ограничивать запрашиваемые разрешения и по возможности не использовать сторонний код.

С выходом Chrome 70 в конце октября вступят в силу и нововведения, касающиеся прав пользователя на регулирование доступа расширений к веб‑страницам. Теперь любой желающий сможет отключить плагин на сайтах, где он не нужен.

Для сравнения: в нынешней версии браузера расширение, которое при установке получило то или иное разрешение, может считывать данные с любой открытой страницы и изменять их. Эту возможность часто используют мошенники с самыми разными целями: кражи конфиденциальных данных или истории веб‑поиска, майнинга криптовалюты или показа рекламных объявлений.

Еще два новых правила Джеймс Вагнер (James Wagner), менеджер по продуктам подразделения Google, занимающегося расширениями Chrome, пообещал ввести в 2019 году.

Во-первых, для всех разработчиков при входе в Chrome Web Store станет обязательной двухфакторная аутентификация. Данная мера обеспечит дополнительный уровень защиты от угона аккаунтов, который стал причиной компрометации множества легитимных расширений за последний год. На днях злоумышленники начали очередную кампанию, которая, вероятнее всего, приведет к появлению в официальном магазине новой порции вредоносных плагинов.

Во-вторых, сотрудники компании представят новое руководство для создания файлов manifest.json, в которых определяются базовые данные о расширении: имя, версия, описание, требуемые разрешения, ожидаемые действия со стороны браузера и т. д. Manifest v3 призван повысить безопасность, конфиденциальность и эффективность платформы. Его целью является создание декларативных API, более простых механизмов управления разрешениями и поддержка технологии Service Workers.

Категории: Кибероборона