Theo TechRadar, chuyên gia cảnh báo rằng tiện ích mở rộng trên Google Chrome có thể đánh cắp mật khẩu ở định dạng văn bản nguyên gốc. Theo đó, Đại học Wisconsin-Madison (Mỹ) đã đăng tải một ý tưởng nghiên cứu trên cửa hàng Chrome Web Store nhằm chứng minh rằng mật khẩu của người dùng có thể bị trích xuất từ mã nguồn của trang web.
Trong quá trình kiểm tra các ô nhập văn bản của các trình duyệt web, nhóm nghiên cứu phát hiện rằng Chrome có đặc quyền cao hơn mức cần thiết vì mô hình cấp phép chi tiết mà nó sử dụng. Điều này giúp cho các tiện ích mở rộng dễ dàng truy xuất dữ liệu từ các ô này.
Theo các nhà nghiên cứu, những trang web phổ biến như Gmail, Facebook và Amazon đã lưu trữ mật khẩu người dùng dưới dạng văn bản trực tiếp trong mã HTML của trang web, làm cho các tiện ích mở rộng có thể xem toàn bộ nội dung. Tiện ích mở rộng trên Chrome thường được cấp quyền truy cập không hạn chế vào cây DOM của trang web, cho phép chúng xác định nội dung của trường nhập văn bản và mã nguồn của trang mà không gặp bất kỳ rào cản nào.
Các phần mở rộng trong quá trình thử nghiệm có thể sử dụng API DOM để trích xuất thông tin từ các trường nhập liệu trên trang web khi người dùng đang nhập, đồng thời vượt qua các biện pháp bảo mật của trang web để giấu mật khẩu của người dùng.
Các chuyên gia cho rằng, mặc dù Google vừa mới giới thiệu giao thức Manifest V3 cho các tiện ích mở rộng của Chrome, vốn được thiết kế để ngăn chặn sự lạm dụng API, chặn mã độc và ngăn các tiện ích mở rộng sử dụng mã từ xa, nhưng điều này vẫn chưa đảm bảo an toàn giữa các tiện ích mở rộng và các trang web.
Để đánh giá quy trình kiểm duyệt của Google, các nhà nghiên cứu đã quyết định tải tiện ích mở rộng của mình lên Chrome Web Store dưới sự hướng dẫn của trợ lý ChatGPT. Vì ứng dụng không chứa mã độc và không sử dụng mã từ các nguồn bên ngoài, nó tuân thủ Manifest V3 và được Google hoàn toàn chấp thuận để tải lên cửa hàng.
Nhà nghiên cứu cho biết hơn 1.000 trang web phổ biến nhất trên toàn cầu đã lưu trữ mật khẩu người dùng ở dạng văn bản trong mã nguồn HTML của họ. Ngoài ra, còn có hơn 7.300 trang web khác có API DOM dễ bị truy cập, cho phép trích xuất thông tin nhập liệu của người dùng một cách trực tiếp.
The authors also stated that approximately 17,300 (12.5%) Chrome extensions are able to legally extract this sensitive information through Google-granted permissions. Many of these apps have millions of downloads, including popular shopping and ad-blocking apps. Các tác giả cũng cho biết khoảng 17.300 tiện ích mở rộng của Chrome (chiếm 12,5%) có thể pháp lý trích xuất thông tin nhạy cảm này thông qua các quyền do Google cấp. Rất nhiều trong số các ứng dụng này có hàng triệu lượt tải xuống, bao gồm các ứng dụng mua sắm và chặn quảng cáo phổ biến.
