Rozszerzenia przeglądarki

czym to jest

Rozszerzenia przeglądarki to małe programy działające wewnątrz przeglądarki internetowej, które mogą modyfikować sposób jej działania lub to, co pokazuje. Są dostępne przez sklepy rozszerzeń (Chrome Web Store, Firefox Add-ons, Edge Add-ons) i instalowane przez poszczególnych użytkowników albo wypychane na zarządzane urządzenia przez IT.

W kontekście bezpieczeństwa SaaS problemem są uprawnienia dostępu, jakich żądają rozszerzenia. Rozszerzenie z uprawnieniem „Odczytuj i zmieniaj wszystkie swoje dane na wszystkich stronach" może czytać wszystko, co użytkownik widzi w przeglądarce: treść aplikacji webowych, dane wpisywane w formularzach, dokumenty otwarte w przeglądarce, zapytania wyszukiwania i treści z wewnętrznych narzędzi webowych.

Typowe rozszerzenia używane w firmach to sprawdzarki pisowni i gramatyki, menedżery haseł, narzędzia produktywnościowe, narzędzia do przechwytywania ekranu, asystenci mailowi i asystenci pisania AI. Każde z nich żąda uprawnień, które w niewłaściwych rękach albo od niezweryfikowanego dostawcy tworzą znaczącą powierzchnię ekspozycji danych.

dlaczego się gromadzi

Rozszerzenia przeglądarki wpadają w lukę w większości procesów governance dostępu.

Nie są aplikacjami SaaS w tradycyjnym sensie. Nie pojawiają się na listach grantów OAuth. Nie pojawiają się w konsolach administracyjnych dostawców tożsamości. Nie są kupowane przez proces zakupowy. Są instalowane bezpośrednio w przeglądarce przez poszczególnego użytkownika i w większości środowisk nie wymagają zaangażowania IT.

Ponieważ są niewidoczne dla standardowych narzędzi do zarządzania SaaS, wypadają też poza standardowe procesy przeglądu. Organizacje z solidnym governance OAuth i regularnymi przeglądami dostępów mogą wciąż nie mieć wglądu w to, jakie rozszerzenia działają na zarządzanych urządzeniach.

Ryzyko związane z rozszerzeniem może też zmienić się po instalacji. Wiarygodne rozszerzenie przejęte przez inną firmę może zaktualizować swoje praktyki dotyczące danych. Popularne rozszerzenie może zostać przejęte i zacząć wyprowadzać dane. Organizacja nie ma mechanizmu, żeby to wykryć, chyba że aktywnie monitoruje instalacje rozszerzeń.

co to kosztuje

Ścieżka wyprowadzania danych. Rozszerzenie z szerokimi uprawnieniami dostępu do stron może czytać i przesyłać treść wewnętrznych dokumentów, dane klientów wyświetlane w aplikacjach webowych, dane uwierzytelniające wpisane w formularzach i komunikację w webowych narzędziach do wiadomości. Wystarczy, że użytkownik zainstaluje rozszerzenie, którego dostawca ma inne interesy niż Twoje, żeby otworzyć tę ścieżkę.

Ekspozycja przepływu danych do AI. Klasa asystentów pisania AI, narzędzi gramatycznych i rozszerzeń produktywnościowych działa przez wysyłanie treści strony do zewnętrznych modeli AI w celu przetworzenia. Użytkownik widzi przydatną sugestię. W tle treść wewnętrznych dokumentów, komunikacji z klientami czy danych finansowych jest przesyłana do zewnętrznej usługi. Organizacja nie ma wglądu w to, co zostało wysłane ani dokąd trafiło.

Naruszenia polityki zarządzanych urządzeń. Większość polityk bezpieczeństwa IT wymaga, żeby oprogramowanie instalowane na firmowych urządzeniach było zatwierdzone. Rozszerzenia instalowane samodzielnie przez pracowników mogą naruszać tę politykę, o czym żadna ze stron nie wie, tworząc lukę compliance w środowiskach regulowanych.

Przejęty łańcuch dostaw rozszerzeń. Sklepy z rozszerzeniami przeglądarki widziały wiele incydentów, w których legalne, szeroko używane rozszerzenia zostały przejęte przez złośliwych aktorów i wykorzystane do wyprowadzania danych z ich ugruntowanej bazy użytkowników. Rozszerzenie, które było bezpieczne w momencie instalacji, może już nie być bezpieczne dziś.

co działa

Widoczność zaczyna się na endpoincie, bo to jedyna warstwa, w której rozszerzenia w pełni istnieją. Urządzenia zarządzane przez Mobile Device Management albo platformy endpoint management, jak Jamf, Intune czy konsola administracyjna Google, mogą zaraportować każde zainstalowane rozszerzenie przeglądarki w całej flocie. Narzędzia warstwy tożsamości natomiast widzą rozszerzenie tylko wtedy, gdy ma ono grant OAuth do katalogu, czego większość nie ma. Raport z endpointu jest więc inwentaryzacją, a lista grantów OAuth jest uzupełnieniem, które wychwytuje podzbiór sięgający bezpośrednio do danych workspace'u.

Przegląd, który następuje, jest bardziej przeglądem uprawnień niż przeglądem dostawców. Rozszerzenia żądające szerokiego dostępu do stron, te, które czytają lub zmieniają dane na wszystkich stronach, i te, które mogą modyfikować dane przeglądania, zasługują na uwagę w pierwszej kolejności, przy czym każde sprawdza się pod kątem tego, czy zakres uprawnień pasuje do zadeklarowanej funkcji. Sprawdzarka pisowni wiarygodnie potrzebuje czytać pola tekstowe. Nie potrzebuje każdej strony, którą odwiedza przeglądarka. Kategorie związane z zewnętrzną transmisją danych, narzędzia pisania AI, przechwytywanie ekranu, analityka, zasługują na najbliższe spojrzenie, bo ich podstawowa funkcja wiąże się z wysyłaniem treści gdzie indziej.

Lista zatwierdzonych rozszerzeń, egzekwowana przez politykę MDM na zarządzanych urządzeniach, zamienia ten przegląd w stałą kontrolę: instalacje spoza listy są blokowane lub oznaczane, zamiast odkrywane później. Niezarządzane urządzenia używane przez pracowników zdalnych i kontraktorów wypadają poza egzekwowanie polityki, i tam właśnie ciężar przejmuje jasna polityka dopuszczalnego użycia, nazywająca dozwolone i zakazane kategorie rozszerzeń i wzmacniana w szkoleniach z świadomości bezpieczeństwa.

Zatwierdzenie też nie jest trwałe. Rozszerzenia często się aktualizują, uprawnienia zmieniają się między wersjami, a dostawcy zmieniają właściciela. Udokumentowane incydenty w sklepach, w których popularne rozszerzenia zostały przejęte i obrócone przeciwko swojej bazie użytkowników, dotyczyły oprogramowania, które było bezpieczne w momencie instalacji. Zatwierdzone rozszerzenie zasługuje na ponowny przegląd zawsze wtedy, gdy zmieniają się jego uprawnienia albo właściciel, a cała lista zasługuje na to przynajmniej raz w roku.