Firefox drošības papildinājums 222 000 ierīcēs ir atrasts sūtot pārlūkošanas datus uz attālo vācu serveri

Neowin

Ir populārs pārlūka papildinājums, kuru instalē 222 746 Firefox lietotāji saskaņā ar Mozilla statistiku par papildinājumu lejupielādēm. Pēc vācu drošības emuāru autora Maika Kukeca un grāmatas uBlock Origin autora Raimonda Hila teiktā, šis konkrētais papildinājums ir izspiegojis lietotāju aktivitātes, pieskaroties viņu pārlūkprogrammas vēsturei un izsekojot apmeklētajām tīmekļa lapām. Šis papildinājums ir tīmekļa drošības paplašinājums pārlūkprogrammai Mozilla Firefox.

Tīmekļa drošība ir izstrādāts, lai aizsargātu lietotājus no tiešsaistes pikšķerēšanas un ļaunprātīgas programmatūras uzbrukumiem, kas potenciāli var nozagt personisko informāciju. Tas notiek tikpat ironiski, kā tiek konstatēts, ka paplašinājums neētiski tur jūsu informācijas cilnēm (domāts pun), izvairoties no jūsu privātuma bez jūsu piekrišanas. Iemesls, kāpēc šīs ziņas tik masveidīgi skar tribīnes, ir tas, ka šo papildinājumu pagājušajā nedēļā pati Mozilla publicēja emuāra ziņā. Papildinājums var lepoties ar fantastiskām atsauksmēm, un tāpēc arī tik daudzi cilvēki to izmanto tik plaši.

Mozilla's emuāra ziņa tika ātri nojaukts pēc tam, kad Hils atrada šo trūkumu papildinājumā un to audzināja vietnē reddit sakot, ka paplašinājums katrā vietnē, kas ielādēta pārlūkprogrammā, tiks ievietota vietnē http://136.243.163.73/. Viņš turpināja teikt, ka ievietotie dati šajā brīdī nav atšifrēti, un viņš mudināja citus drošības analītiķus tos izpētīt. Vakar Kuketz pamanīja to pašu īpatnību un turpināja to izpētīt, lai atklātu, ka lietotāju apmeklētie vietrāži URL tiek iestatīti uz Vācijas serveri.

Lai gan dažas lietojumprogrammas izmanto URL datus, lai meklētu iespējamos draudus, šāda meklēšana nenozīmē datu pārraidi uz attālā servera atrašanās vietu. Iepazīstoties ar kodu (zemāk), tika konstatēts, ka pievienojumprogramma reģistrēja lietotāju tīmekļa apmeklēšanas paradumus, bet arī reģistrēja tos lietotāju ID, lai novērtētu viņu vispārējos pārlūkošanas modeļus. Šī analīze un datu vākšana nav vajadzīga paplašināšanas mērķim. Divi līdzīgi papildinājumi, Stylish un Web of Trust, tika aizliegti tādā pašā veidā, lai vāktu informāciju, taču Web Security vēl nav aizliegts.