Sì: un’estensione del browser con l’accesso necessario a un messenger web può leggere il testo dei messaggi dopo che la pagina li ha decifrati e visualizzati. Non serve violare la cifratura utilizzata tra i partecipanti. Si tratta dell’accesso a uno dei dispositivi finali in cui il contenuto è già leggibile.
Non tutte le estensioni possono leggere tutti i siti. Il rischio dipende dai permessi concessi, dal comportamento dell’estensione e dall’ambiente del browser. Esamina questo ambito invece di presumere che tutte le estensioni siano spyware o che la presenza in uno store ufficiale elimini il rischio.
Come gli script di contenuto vedono una pagina
La documentazione di Chrome sugli script di contenuto spiega che questi possono leggere e modificare il Document Object Model della pagina, o DOM, nei siti a cui sono autorizzati ad accedere.
Questi script vengono normalmente eseguiti in un mondo JavaScript isolato: le loro variabili sono separate da quelle della pagina. Il DOM della pagina, però, resta una superficie condivisa. Se vi si trova un messaggio di chat o una bozza, l’isolamento delle variabili JavaScript non promette che l’estensione non possa leggere quel testo.
Questa distinzione conta perché un’estensione non deve rubare una chiave privata di cifratura per catturare un messaggio leggibile. Né il normale accesso a un sito concede automaticamente ogni possibile capacità, come l’accesso illimitato a tutti i cookie del browser: questi dettagli dipendono da permessi e interfacce aggiuntivi.
Perché la cifratura end-to-end non risolve l’accesso al dispositivo finale
La cifratura end-to-end protegge il contenuto tra dispositivi finali autorizzati. L’applicazione deve rendere disponibile il contenuto ricevuto alla persona che lo legge, e un ambiente locale compromesso o dotato di permessi eccessivi può accedere a quella copia leggibile.
Il confine crittografico non è semplicemente «il socket di rete», e la cifratura end-to-end è più della cifratura di trasporto. Ma non è una difesa generale contro software capace di osservare gli output o gli input del dispositivo finale autorizzato.
Per lo stesso motivo, passare a uno scambio di chiavi post-quantistico non impedisce a un’estensione autorizzata di leggere una bozza prima che venga cifrata.
Controlli utili e affermazioni da evitare
| Controllo | In cosa può aiutare | Cosa non garantisce |
|---|---|---|
| Accesso limitato delle estensioni ai siti | Limita dove possono operare gli script autorizzati | Che l’estensione sia affidabile nei siti ancora consentiti |
| Un profilo separato senza estensioni aggiunte | Riduce l’esposizione alle estensioni per quel profilo | Protezione da malware del sistema operativo o da un browser compromesso |
| Web Workers o chiavi non esportabili | Possono ridurre particolari rischi nella gestione delle chiavi | Riservatezza del testo in chiaro successivamente mostrato all’utente |
| Content Security Policy | Limita determinati comportamenti di script e risorse della pagina | Una barriera universale contro estensioni autorizzate dal browser |
| Shadow DOM o rendering su canvas | Cambia rendering e incapsulamento | Un confine di sicurezza affidabile contro software locale ostile |
Manifest V3 modifica capacità e regole delle estensioni, ma non elimina la capacità documentata degli script di contenuto autorizzati di ispezionare una pagina. Le affermazioni secondo cui una tecnica di rendering renderebbe un messenger «a prova di estensioni» richiedono prove molto più solide.
Controlla i permessi di Chrome prima di una chat sensibile
Usa la guida di Chrome alla gestione delle estensioni per esaminare le estensioni installate e il loro accesso ai siti. Dove la funzione è disponibile, limita l’accesso ai siti effettivamente necessari o richiedi l’attivazione alla selezione. Rimuovi le estensioni che non usi più.
Presta attenzione alle modifiche dei permessi, ma non presumere che ogni aggiornamento dannoso debba richiederne di nuovi. Il codice può abusare dell’accesso che già possiede. La documentazione di Chrome sugli avvisi relativi ai permessi spiega quando i permessi aggiunti attivano un avviso.
La modalità in incognito non è automaticamente un ambiente senza estensioni: Chrome consente di abilitarvi singole estensioni. Controlla la configurazione effettiva. Analogamente, non applicare indiscriminatamente un’affermazione sulle pagine web di Chrome a un’app desktop autonoma con un runtime diverso.
Se sospetti che un’estensione abbia esposto messaggi
Smetti di usare l’ambiente interessato per comunicazioni sensibili. Disabilita o rimuovi l’estensione sospetta, aggiorna il browser ed esamina le estensioni e i permessi rimanenti. Da un ambiente affidabile, controlla le sessioni dell’account e segui le indicazioni di recupero del servizio se credenziali o accesso all’account potrebbero essere stati esposti.
Rimuovere un’estensione ne impedisce il funzionamento futuro in quel browser; non può richiamare contenuti già copiati. Una cronologia delle chat dall’aspetto normale non dimostra che non sia avvenuta una divulgazione.
Il confine di Livara
Il modello di minaccia di Livara esclude esplicitamente la protezione contro un dispositivo finale compromesso. Il suo Proof Lab offre un controllo dell’hash dell’APK e una dimostrazione crittografica circoscritta, non una certificazione che la sessione del browser sia priva di estensioni dannose.
Mantieni l’ambito dei permessi delle estensioni il più ristretto possibile nella pratica. Una robusta cifratura dei messaggi e un dispositivo finale affidabile sono requisiti complementari.
