Google "vô tư" để tiện ích mở rộng ăn cắp mật khẩu trên Chrome

Tiện ích mở rộng bị phát hiện là một công cụ hoàn hảo để đánh cắp mật khẩu trên trình duyệt Chrome.

Theo TechRadar, tiện ích mở rộng trên Google Chrome đã được chuyên gia cảnh báo có thể đánh cắp mật khẩu ở định dạng văn bản nguyên gốc. Theo đó, các nhà nghiên cứu từ Đại học Wisconsin-Madison (Mỹ) gần đây đã tải lên cửa hàng Chrome Web Store một ý tưởng nghiên cứu, để chứng minh rằng mật khẩu của người dùng có thể được trích xuất từ mã nguồn của trang web.

Khi kiểm tra các trường nhập văn bản của trình duyệt web, nhóm nghiên cứu nhận thấy rằng Chrome có nhiều đặc quyền hơn mức cần thiết do mô hình cấp phép chi tiết mà nó sử dụng. Điều này cho phép tiện ích mở rộng dễ dàng truy xuất dữ liệu từ các trường này.

Google "vô tư" để tiện ích mở rộng ăn cắp mật khẩu trên Chrome - 1

Tiện ích mở rộng trên Google Chrome được cấp nhiều đặc quyền quá mức cần thiết.

Các nhà nghiên cứu phát hiện ra rằng các trang web phổ biến với hàng triệu khách truy cập như Gmail, Facebook và Amazon, đã lưu trữ mật khẩu người dùng ở dạng văn bản gốc trong mã HTML của trang web, khiến các tiện ích mở rộng có thể xem được toàn bộ nội dung. Các tiện ích mở rộng trên Chrome thường được cấp quyền truy cập không hạn chế vào cây DOM của trang web, cho phép chúng xác định nội dung của trường nhập văn bản và mã nguồn của trang mà không có bất cứ điều gì ngăn cản.

Tiện ích mở rộng trong thử nghiệm cũng có thể thao túng cả API DOM để trích xuất văn bản từ các trường nhập liệu trên trang web khi nạn nhân đang nhập, điều này vượt qua mọi nỗ lực bảo mật từ trang web trong việc ẩn giấu mật khẩu người dùng.

Mặc dù Google gần đây đã ra mắt giao thức Manifest V3 cho các tiện ích mở rộng của Chrome, được cho là để hạn chế lạm dụng API, ngăn chặn việc thực thi mã tùy ý và ngăn các tiện ích mở rộng sử dụng mã từ xa, nhưng các nhà nghiên cứu cho rằng điều đó không cung cấp sự bảo vệ giữa các tiện ích mở rộng và các trang web.

Để xem xét quá trình kiểm duyệt của Google, các nhà nghiên cứu đã quyết định tải tiện ích mở rộng của họ lên Chrome Web Store dưới sự hướng dẫn của trợ lý ChatGPT. Vì nó không chứa mã độc hoặc lấy mã từ các nguồn bên ngoài nên tuân thủ Manifest V3. Do đó, Google đã hoàn toàn cho phép tải lên cửa hàng.

Các nhà nghiên cứu tuyên bố rằng hơn 1.000 trang web phổ biến nhất thế giới lưu trữ mật khẩu người dùng ở dạng văn bản nguyên gốc trong mã nguồn HTML của họ và hơn 7.300 trang web khác dễ bị truy cập API DOM, cho phép trích xuất trực tiếp thông tin nhập liệu của người dùng.

Họ cũng cho biết khoảng 17.300 (12,5%) tiện ích mở rộng của Chrome có thể trích xuất loại thông tin nhạy cảm này một cách hợp pháp thông qua các quyền do Google cấp cho chúng. Nhiều ứng dụng có hàng triệu lượt cài đặt, trong đó có các ứng dụng mua sắm và trình chặn quảng cáo phổ biến.

Thanh Phong

Tin liên quan

Tin mới nhất

Cập nhật bản đồ quy hoạch dự án Vinhomes Hạ Long Xanh

Cập nhật bản đồ quy hoạch dự án Vinhomes Hạ Long Xanh

Bản đồ quy hoạch dự án Vinhomes Hạ Long Xanh tại Quảng Ninh vừa được cập nhật theo các tài liệu chính thức, giúp người đọc có cái nhìn tổng quát về tổ chức không gian, phân khu chức năng và hệ thống hạ tầng của siêu đô thị ven biển này. Điều này đặc biệt hữu ích đối với nhà đầu tư, chuyên gia và người quan tâm muốn nắm rõ “bức tranh quy hoạch” trước khi nghiên cứu sâu về

Tôi hát tên người con gái vinh quang…

Tôi hát tên người con gái vinh quang…

Ở tỉnh Vĩnh Long hiện nay có nhiều tấm gương nữ anh hùng, liệt sĩ đã anh dũng hy sinh trong sự nghiệp đấu tranh giải phóng dân tộc, mà qua các tác phẩm văn học nghệ thuật tên tuổi của họ càng được lan tỏa. Ở bài viết này tôi muốn nhắc đến một bài hát ra đời cách nay hơn nửa thế kỷ viết về chiến công của một phụ nữ gan dạ, kiên trung - đó là nữ liệt sĩ, anh hùng lực lượng vũ

Lịch thi đấu tuyển futsal Việt Nam, lịch thi đấu futsal châu Á 2026

Lịch thi đấu tuyển futsal Việt Nam, lịch thi đấu futsal châu Á 2026

Vòng chung kết futsal châu Á 2026 chính thức khởi tranh tại Indonesia từ ngày 27/1, với lịch thi đấu dày đặc trải dài từ vòng bảng đến chung kết. Trong đó, hành trình của tuyển futsal Việt Nam ở bảng B được người hâm mộ đặc biệt chờ đợi, khi thầy trò HLV Diego Giustozzi sẽ lần lượt chạm trán những đối thủ quen mặt của khu vực.

Kết quả thi đấu tuyển futsal Việt Nam, kết quả futsal châu Á 2026

Kết quả thi đấu tuyển futsal Việt Nam, kết quả futsal châu Á 2026

Những kết quả của vòng chung kết futsal châu Á 2026 sẽ mang đến nhiều diễn biến hấp dẫn tại Jakarta (Indonesia từ 27/1), nơi các ứng viên hàng đầu đồng loạt ra sân. Đáng chú ý, các trận đấu có sự góp mặt của tuyển futsal Việt Nam luôn thu hút sự quan tâm lớn, bởi mỗi kết quả đều ảnh hưởng trực tiếp tới cục diện bảng đấu.

Cận Tết, con ho nghẹt mũi mãi không dứt: Mẹ “tá hỏa” khi biết thủ phạm ngay chỗ con nằm

Cận Tết, con ho nghẹt mũi mãi không dứt: Mẹ “tá hỏa” khi biết thủ phạm ngay chỗ con nằm

Ô nhiễm không khí không chỉ hiện diện ngoài đường phố mà đã âm thầm len lỏi vào không gian sống của nhiều gia đình đô thị. Với những gia đình có con nhỏ, môi trường sinh hoạt trong nhà, nơi con ăn, ngủ và lớn lên mỗi ngày trở thành mối quan tâm hàng đầu, khiến các giải pháp làm sạch không khí được người tiêu dùng kiểm chứng ngày càng được ưu tiên.