Badacze z Guardio Labs opisali lukę w rozszerzeniu Adobe Acrobat dla Google Chrome, która w pewnych warunkach mogła dać dostęp do danych wyświetlanych w WhatsApp Web. Brzmi jak news o Adobe. Dla mnie to news o tym, jak lekkomyślnie klikam „Dodaj do Chrome”.
Problem nie leży tam, gdzie myślałem
Odruchowo obwiniamy producenta wtyczki. Tymczasem sedno tkwi w uprawnieniach, które nadajemy rozszerzeniom przy instalacji - często jednym kliknięciem, bez czytania. Rozszerzenie z dostępem do zawartości stron potrafi odczytywać to, co renderuje przeglądarka, także w otwartej karcie WhatsApp Web.
WhatsApp szyfruje wiadomości end-to-end w tranzycie. Ale gdy rozmowa jest już wyświetlona na ekranie, jest odszyfrowana - to zwykły tekst w drzewie DOM. Wtyczka z odpowiednimi uprawnieniami nie musi łamać szyfrowania. Wystarczy, że przeczyta to, co i tak widzę ja.
To dlatego luka w narzędziu do PDF-ów mogła w ogóle dotknąć komunikatora. Te dwie rzeczy nie mają ze sobą nic wspólnego poza jednym: działają w tej samej przeglądarce, na tych samych prawach.
Mam w Chrome kilkanaście wtyczek, których nie pamiętam
Sprawdziłem swoją listę rozszerzeń. Blokada reklam, menedżer haseł, coś do zrzutów ekranu, dwa narzędzia, których nazwy nic mi nie mówią. Każde z nich prosiło kiedyś o zgodę na „odczyt i zmianę danych na wszystkich odwiedzanych stronach”. Kliknąłem „OK”, bo chciałem, żeby zadziałało.
To jest ciche założenie całego modelu wtyczek: ufam kodowi, którego nie napisałem, nie czytałem i którego aktualizacje dostaję automatycznie. Uczciwy dziś dodatek jutro może zostać sprzedany, przejęty albo zhakowany. A uprawnienia zostają.
Chrome pozwala ograniczyć dostęp wtyczki do konkretnych witryn - w ustawieniach rozszerzenia można wybrać „po kliknięciu” zamiast „na wszystkich stronach”. Prawie nikt tego nie robi, ja też nie robiłem. Po tej historii przejrzałem listę i wyciąłem trzy dodatki, z których nie korzystam od miesięcy.
Guardio zgłosiło błąd, Adobe go załata i cała sprawa zniknie z nagłówków. Ale mechanizm zostaje. Nie chodzi o to, żeby nie używać wtyczek - chodzi o to, żebym przestał traktować przycisk „Dodaj do Chrome” jak niewinny gadżet. To jest wpuszczanie obcego kodu do miejsca, w którym czytam prywatne rozmowy.
