Google "vô tư" để tiện ích mở rộng ăn cắp mật khẩu trên Chrome

Theo TechRadar, tiện ích mở rộng trên Google Chrome đã được chuyên gia cảnh báo có thể đánh cắp mật khẩu ở định dạng văn bản nguyên gốc. Theo đó, các nhà nghiên cứu từ Đại học Wisconsin-Madison (Mỹ) gần đây đã tải lên cửa hàng Chrome Web Store một ý tưởng nghiên cứu, để chứng minh rằng mật khẩu của người dùng có thể được trích xuất từ mã nguồn của trang web.

Khi kiểm tra các trường nhập văn bản của trình duyệt web, nhóm nghiên cứu nhận thấy rằng Chrome có nhiều đặc quyền hơn mức cần thiết do mô hình cấp phép chi tiết mà nó sử dụng. Điều này cho phép tiện ích mở rộng dễ dàng truy xuất dữ liệu từ các trường này.

Tiện ích mở rộng trên Google Chrome được cấp nhiều đặc quyền quá mức cần thiết.

Các nhà nghiên cứu phát hiện ra rằng các trang web phổ biến với hàng triệu khách truy cập như Gmail, Facebook và Amazon, đã lưu trữ mật khẩu người dùng ở dạng văn bản gốc trong mã HTML của trang web, khiến các tiện ích mở rộng có thể xem được toàn bộ nội dung. Các tiện ích mở rộng trên Chrome thường được cấp quyền truy cập không hạn chế vào cây DOM của trang web, cho phép chúng xác định nội dung của trường nhập văn bản và mã nguồn của trang mà không có bất cứ điều gì ngăn cản.

Tiện ích mở rộng trong thử nghiệm cũng có thể thao túng cả API DOM để trích xuất văn bản từ các trường nhập liệu trên trang web khi nạn nhân đang nhập, điều này vượt qua mọi nỗ lực bảo mật từ trang web trong việc ẩn giấu mật khẩu người dùng.

Mặc dù Google gần đây đã ra mắt giao thức Manifest V3 cho các tiện ích mở rộng của Chrome, được cho là để hạn chế lạm dụng API, ngăn chặn việc thực thi mã tùy ý và ngăn các tiện ích mở rộng sử dụng mã từ xa, nhưng các nhà nghiên cứu cho rằng điều đó không cung cấp sự bảo vệ giữa các tiện ích mở rộng và các trang web.

Để xem xét quá trình kiểm duyệt của Google, các nhà nghiên cứu đã quyết định tải tiện ích mở rộng của họ lên Chrome Web Store dưới sự hướng dẫn của trợ lý ChatGPT. Vì nó không chứa mã độc hoặc lấy mã từ các nguồn bên ngoài nên tuân thủ Manifest V3. Do đó, Google đã hoàn toàn cho phép tải lên cửa hàng.

Các nhà nghiên cứu tuyên bố rằng hơn 1.000 trang web phổ biến nhất thế giới lưu trữ mật khẩu người dùng ở dạng văn bản nguyên gốc trong mã nguồn HTML của họ và hơn 7.300 trang web khác dễ bị truy cập API DOM, cho phép trích xuất trực tiếp thông tin nhập liệu của người dùng.

Họ cũng cho biết khoảng 17.300 (12,5%) tiện ích mở rộng của Chrome có thể trích xuất loại thông tin nhạy cảm này một cách hợp pháp thông qua các quyền do Google cấp cho chúng. Nhiều ứng dụng có hàng triệu lượt cài đặt, trong đó có các ứng dụng mua sắm và trình chặn quảng cáo phổ biến.