Да: расширение браузера с необходимым доступом к веб-мессенджеру может читать текст сообщений после того, как страница расшифрует и отобразит его. Для этого не нужно взламывать шифрование между участниками. Это доступ к одному из конечных устройств, где содержимое уже доступно для чтения.
Не каждое расширение может читать каждый сайт. Риск зависит от предоставленных разрешений, поведения расширения и среды браузера. Проверяйте эти границы, а не исходите из того, что все расширения — шпионское ПО или что размещение в официальном магазине устраняет риск.
Как контент-скрипты видят страницу
Документация Chrome по контент-скриптам объясняет, что они могут читать и изменять объектную модель документа страницы, или DOM, на сайтах, доступ к которым им разрешён.
Обычно эти скрипты работают в изолированном мире JavaScript: их переменные отделены от переменных страницы. Однако DOM страницы остаётся общей поверхностью. Если сообщение чата или черновик находится там, изоляция переменных JavaScript не обещает, что расширение не сможет прочитать этот текст.
Это различие важно: расширению не нужно красть закрытый ключ шифрования, чтобы перехватить читаемое сообщение. Обычный доступ к сайту также не предоставляет автоматически все возможные возможности, например неограниченный доступ ко всем cookies браузера; такие детали зависят от дополнительных разрешений и интерфейсов.
Почему E2EE не решает проблему доступа к конечному устройству
Сквозное шифрование защищает содержимое между авторизованными конечными устройствами. Приложение должно предоставить полученное содержимое человеку, который его читает, а скомпрометированная локальная среда или среда с избыточными разрешениями может получить доступ к этой читаемой копии.
Криптографическая граница — это не просто «сетевой сокет», и E2EE — больше, чем транспортное шифрование. Но это не универсальная защита от программ, способных наблюдать вывод или ввод авторизованного конечного устройства.
По той же причине переход на постквантовый обмен ключами не мешает расширению с соответствующим разрешением читать черновик до его шифрования.
Полезные меры и заявления, которых следует избегать
| Мера | В чём может помочь | Чего не гарантирует |
|---|---|---|
| Ограниченный доступ расширения к сайтам | Ограничивает сайты, на которых могут работать разрешённые скрипты | Что расширение заслуживает доверия на всё ещё разрешённых сайтах |
| Отдельный профиль без добавленных расширений | Снижает воздействие расширений на этот профиль | Защиту от вредоносного ПО операционной системы или скомпрометированного браузера |
| Web Workers или неэкспортируемые ключи | Могут снизить отдельные риски обращения с ключами | Конфиденциальность открытого текста, который позднее отображается пользователю |
| Content Security Policy | Ограничивает определённое поведение скриптов и ресурсов страницы | Универсальный барьер против расширений, авторизованных браузером |
| Shadow DOM или отрисовка на canvas | Меняет отрисовку и инкапсуляцию | Надёжную границу безопасности против враждебного локального ПО |
Manifest V3 меняет возможности и правила расширений, но не устраняет документированную способность разрешённых контент-скриптов исследовать страницу. Заявления о том, что техника отрисовки делает мессенджер «защищённым от любых расширений», требуют гораздо более убедительных доказательств.
Проверьте разрешения Chrome перед конфиденциальным разговором
Используйте руководство Chrome по управлению расширениями, чтобы проверить установленные расширения и их доступ к сайтам. Где эта функция доступна, ограничьте доступ действительно нужными сайтами или требуйте активации по выбору пользователя. Удалите расширения, которыми больше не пользуетесь.
Обращайте внимание на изменения разрешений, но не предполагайте, что каждое вредоносное обновление обязательно запросит новые. Код может злоупотребить уже имеющимся доступом. Документация Chrome о предупреждениях разрешений объясняет, когда добавленные разрешения вызывают предупреждение.
Режим инкогнито не становится автоматически средой без расширений: Chrome позволяет включать там отдельные расширения. Проверьте фактическую конфигурацию. Аналогично, не переносите без разбора утверждение о веб-странице Chrome на отдельное настольное приложение с другой средой выполнения.
Если вы подозреваете, что расширение раскрыло сообщения
Прекратите использовать затронутую среду для конфиденциального общения. Отключите или удалите подозрительное расширение, обновите браузер и проверьте оставшиеся расширения и их разрешения. Из доверенной среды проверьте сеансы учётной записи и следуйте рекомендациям сервиса по восстановлению, если могли быть раскрыты учётные данные или доступ к аккаунту.
Удаление расширения предотвращает его дальнейшую работу в этом браузере; оно не может отозвать уже скопированное содержимое. История чата без видимых проблем не доказывает, что раскрытия не было.
Граница Livara
Модель угроз Livara явно исключает защиту от скомпрометированного конечного устройства. Её Proof Lab предлагает проверку хеша APK и ограниченную демонстрацию криптографии, а не сертификат отсутствия вредоносных расширений в сеансе браузера.
Сохраняйте границы разрешений расширений настолько узкими, насколько это практически возможно. Надёжное шифрование сообщений и доверенное конечное устройство — взаимодополняющие требования.
