Web浏览器扩展程序安全缓解浏览器插件威胁.pdf

安全咖啡屋 计算机与网络创新生活 鬻赫溯羹器扩晨程序安垒囊 缓解测览器插件躺 大多数web浏览器用户都期扩展程序权限控制，但是通常会因 新选项，但是要知道并不是所有插 望浏览器扩展程序、插件和浏览器 为粗粒度访问控制而被攻击，另 件都会自动更新。例如，chrome会 帮助者对象(BHo)能提供一些便外，用户总是对各种附加产品授予 自动更新AdobeFl曲插件，但是大 利。 权限，危险意识不足。永远不要只 部分其他扩展程序需要通过运行 不幸的是，这些附加产品通过 是因为一个附加产品托管在官方 相关产品的安装程序进行更新。建 将组件添加到浏览器的默认功能 扩展程序库中，就想当然认为它是 议禁止运行已经过时的插件，这样 来提高生产力的同时，也成为恶意 安全的。尽管大多数附加产品在推 有助于确保企业的修复策略，包括 攻击者的首要攻击目标。因为企业 出之前都要经过审查，但是违反浏 浏览器扩展程序和插件。企业可能 csI 在修补和更新插件和扩展程序方 览器开发者程序政策的恶意扩展 考虑实施审计工具，如secllnia 面的能力普遍较差，所以浏览器就 程序并不少见。比如，提交给苹果 7．o或Qualys 成为了终端最脆弱的攻击目标。对 扩展程序库的苹果sa白ri扩展程序以扫描常见的浏览器插件，并确定 于终端环境来说，大多数企业的补 其实托管在一个外部位置，而 它们是否需要更新。 Mo枷a 丁周期是∽个月，这个周期很长 Firefox允许来自第三方网同时，很多浏览器厂商都试图 以至于企业不能及时地跟上利用 站扩展程序的安装。 提高附加产品的安全性。chrome 浏览器扩展程序和插件漏洞的攻 当审查要安装在企业的扩展 浏览器不再允许静默扩展程序安 击组件。 程序时，始终牢记扩展程序可以访 在本文中，我们将探讨web浏问的资源类型和数据发送的目标 览器扩展程序在普及程度和功能 位置。尽管谷歌为chmme浏览器似，这些都不允许静默扩展程序安 完善两方面的发展，以及它对固有 扩展程序设定了风险等级，而且谷 装。在活动目录(A崩veDirectory)环 环境的威胁和如何缓解这种状况。 歌最近刚刚宣布将收紧限制，使基 境中，组策略(Grouppohcy)提供一 虽然很多热门的附加组件是 于wiIldows的扩展程序只能通过套全面的设置来管理w访dows chrome 由知名供应商所开发，但是任何人 web商店来添加，但是管 都可以写一段代码让这些组件成 理员还是应该完成他们自己的评 和限制扩展程序安装或运行的能 为传递恶意的潜在工具。过去，恶 估。对待任意扩展程序都应该高度 力。陆fo】【ADM也可以产生安全组 意浏览器扩展程序通过在网站插 谨慎，做到以下要求： 策略对象(GPo)来管理安装设置。 入虚假广告或挟持有哪些信誉好的足球投注网站查询，来进 与本地文件交互 尽管cl啪腓浏览器有安装模版， 行点击欺诈。例如，安全研究员 与windows注册表交互 还是要手动创建GPo来部署一个 zokan 与cookies交互 B出笛开发了一个可以修改 wmddws域。 网页，下载并执行文件，挟持账户 访问任意浏览器选项卡或窗口 为了成功的降低扩展程序风 和绕过双因素身份认证的浏览器 执行用户的sheⅡ指令 险，推荐将所有的插件列入黑名 扩展程序。感染了这个扩展程序的 沙盒插件应该总是优于非沙 单，然后选择性地添加一些必要的 浏览器会被控制，就像一个僵尸客 盒插件，因为后者是在用户的特权