ส่วนขยายเบราว์เซอร์ที่ดูไม่เป็นอันตรายในภายนอกได้แอบเปลี่ยนผู้ใช้ให้กลายเป็นบอทดึงข้อมูลเว็บไซต์ โดยส่งผลกระทบต่ออุปกรณ์เกือบ 1 ล้านเครื่องทั่วโลก การค้นพบนี้ได้จุดประกายการอภิปรายอย่างเข้มข้นเกี่ยวกับจริยธรรมในการสร้างรายได้จากส่วนขยายเบราว์เซอร์และประสิทธิภาพของมาตรการรักษาความปลอดภัยในปัจจุบัน
โมเดลธุรกิจที่ซ่อนอยู่เบื้องหลังส่วนขยายฟรี
นักวิจัยด้านความปลอดภัย John Tuckner ได้ค้นพบส่วนขยาย 245 ตัวใน Chrome, Firefox และ Edge ที่ผสานรวม MellowTel-js ซึ่งเป็นไลบรารี JavaScript ที่ออกแบบมาเพื่อสร้างรายได้จากส่วนขยายผ่านการดึงข้อมูลเว็บไซต์ ส่วนขยายเหล่านี้ซึ่งมีวัตถุประสงค์ที่ถูกต้องตามกฎหมาย เช่น การจัดการบุ๊กมาร์กหรือเพิ่มระดับเสียงลำโพง ได้รับการดาวน์โหลดเกือบ 909,000 ครั้ง ชุมชนได้สงสัยเกี่ยวกับแนวทางปฏิบัติดังกล่าวมานาน โดยผู้ที่อยู่ในอุตสาหกรรมระบุว่าพฤติกรรมประเภทนี้ไม่ใช่เรื่องใหม่
ส่วนขยายและ VPN ได้ทำสิ่งนี้มาหลายปีแล้ว มันไม่ใช่ความลับ ที่ที่ฉันเคยทำงาน เราจ่ายเงินให้บริษัทพร็อกซี/ดึงข้อมูลที่ยังเสนอการดึงข้อมูลแบบ 'ลับ' โดยใช้ IP ที่อยู่อาศัย
การสร้างรายได้ทำงานโดยการเชื่อมต่อเบราว์เซอร์ของผู้ใช้กับลูกค้าที่จ่ายเงินซึ่งต้องการบริการดึงข้อมูลเว็บไซต์ บริษัทอย่าง Olostep ใช้เครือข่ายเบราว์เซอร์เหล่านี้เพื่อหลีกเลี่ยงระบบตรวจจับบอท โดยเข้าถึงเว็บไซต์ผ่านเบราว์เซอร์ของผู้ใช้จริงแทนที่จะใช้บอทดึงข้อมูลแบบดั้งเดิม
โมเดลรายได้ของ MellowTel :
- นักพัฒนาส่วนขยายได้รับ: 55% ของรายได้
- MellowTel เก็บไว้: 45% ของรายได้
- ลูกค้าหลัก: ผู้โฆษณาและบริการเว็บสแครปปิ้ง
- วิธีการ: การแบ่งปันแบนด์วิดท์ผ่านเบราว์เซอร์ของผู้ใช้
ความเสี่ยงด้านความปลอดภัยเกินกว่าข้อกังวลด้านความเป็นส่วนตัว
สิ่งที่น่าตกใจที่สุดไม่ใช่เพียงการใช้แบนด์วิดท์โดยไม่ได้รับอนุญาต แต่เป็นวิธีที่ส่วนขยายเหล่านี้ทำให้ความปลอดภัยของเบราว์เซอร์อ่อนแอลง MellowTel ลบส่วนหัวความปลอดภัยที่สำคัญ เช่น Content-Security-Policy และ X-Frame-Options ออกจากการตอบสนองของเว็บ ทำให้ผู้ใช้เสี่ยงต่อการโจมตีแบบ cross-site scripting ที่ปกติจะถูกบล็อก สิ่งนี้สร้างภัยคุกคามสองเท่า: ผู้ใช้กลายเป็นผู้เข้าร่วมโดยไม่รู้ตัวในการดำเนินงานดึงข้อมูลเชิงพาณิชย์ ในขณะที่การเรียกดูของพวกเขาเองกลับมีความปลอดภัยน้อยลง
ส่วนขยายยังแทรก iframe ที่ซ่อนอยู่ลงในหน้าเว็บ โดยเชื่อมต่อกับเว็บไซต์ที่ไม่รู้จักซึ่งระบุโดยเซิร์ฟเวอร์ระยะไกล ผู้ใช้ไม่มีทางรู้ว่าเว็บไซต์ใดบ้างที่กำลังถูกเข้าถึงผ่านเบราว์เซอร์ของพวกเขา ซึ่งสร้างความเสี่ยงที่อาจเกิดขึ้นจากการสัมผัสกับเนื้อหาที่เป็นอันตราย
ส่วนหัวความปลอดภัยที่ถูกลบออกโดย MellowTel :
- Content-Security-Policy (CSP)
- X-Frame-Options
- ส่วนหัวความปลอดภัยอื่นๆ ของเว็บเซิร์ฟเวอร์
- ผลกระทบ: เพิ่มความเสี่ยงต่อการโจมตีแบบ cross-site scripting
การตอบสนองของอุตสาหกรรมและความท้าทายในการบังคับใช้
ผู้ขายเบราว์เซอร์ได้ดิ้นรนเพื่อบังคับใช้นโยบายของตนเองต่อต้านแนวทางปฏิบัติดังกล่าว นโยบายเว็บสโตร์ของ Chrome ห้ามส่วนขยายที่มีวัตถุประสงค์หลายอย่าง แต่ส่วนขยายหลายร้อยตัวยังคงทำงานอยู่จนกระทั่งเมื่อเร็ว ๆ นี้ ชุมชนได้เรียกร้องให้มีโมเดลการแจกจ่ายที่ดีกว่า คล้ายกับ F-Droid สำหรับแอป Android ที่จะให้ความโปร่งใสมากขึ้นเกี่ยวกับพฤติกรรมของส่วนขยาย
ความพยายามในการบังคับใช้ในปัจจุบันแสดงผลลัพธ์ที่หลากหลาย จากส่วนขยาย 245 ตัวที่ระบุ มีเพียงส่วนเล็กเท่านั้นที่ถูกลบหรืออัปเดตเพื่อกำจัดไลบรารีที่มีปัญหา Chrome มีส่วนขยาย 12 จาก 45 ตัวที่ถูกปิดใช้งาน ในขณะที่ Firefox และ Edge ลบได้น้อยกว่านั้นอีก
ส่วนขยายที่ได้รับผลกระทบจำแนกตามแพลตฟอร์มเบราว์เซอร์:
- Chrome: 45 ส่วนขยาย (ปัจจุบันไม่ใช้งานแล้ว 12 ส่วนขยาย)
- Edge: 129 ส่วนขยาย (ปัจจุบันไม่ใช้งานแล้ว 8 ส่วนขยาย)
- Firefox: 71 ส่วนขยาย (ปัจจุบันไม่ใช้งานแล้ว 2 ส่วนขยาย)
- จำนวนดาวน์โหลดรวม: เกือบ 909,000 ครั้งในทุกแพลตฟอร์ม
ผลกระทบในวงกว้าง
เหตุการณ์นี้เน้นย้ำแนวโน้มที่เพิ่มขึ้นที่ซอฟต์แวร์ฟรีสร้างรายได้ผ่านการเก็บรวบรวมข้อมูลที่ซ่อนอยู่หรือการแบ่งปันแบนด์วิดท์ แนวทางปฏิบัตินี้ขยายไปเกินกว่าส่วนขยายเบราว์เซอร์ไปยัง VPN, แอปมือถือ และซอฟต์แวร์แบบบันเดิลที่โฆษณาอย่างเปิดเผยเกี่ยวกับวิธีการหาเงินจากแบนด์วิดท์อินเทอร์เน็ตที่ไม่ได้ใช้
สำหรับเครือข่ายองค์กร ส่วนขยายเหล่านี้ก่อให้เกิดความเสี่ยงเฉพาะโดยการข้ามการควบคุมความปลอดภัยและเข้าถึงเว็บไซต์ที่ไม่ได้รับอนุญาต ลักษณะที่เปลี่ยนแปลงของเป้าหมายการดึงข้อมูลหมายความว่าแม้แต่ส่วนขยายที่มีเจตนาดีก็สามารถทำให้เครือข่ายองค์กรเสี่ยงต่อความเสี่ยงด้านความปลอดภัยที่ไม่รู้จัก
การค้นพบนี้เป็นเครื่องเตือนใจว่าส่วนขยายเบราว์เซอร์ฟรีมักมาพร้อมกับต้นทุนที่ซ่อนอยู่ ไม่ว่าจะเป็นในด้านความเป็นส่วนตัว ความปลอดภัย หรือการเข้าร่วมโดยไม่รู้ตัวในการดำเนินงานเชิงพาณิชย์ที่ผู้ใช้ไม่เคยตกลงที่จะสนับสนุน
อ้างอิง: Browser extensions turn nearly 1 million browsers into website-scraping bots