Có: một tiện ích trình duyệt có quyền truy cập cần thiết vào ứng dụng nhắn tin trên web có thể đọc văn bản tin nhắn sau khi trang giải mã và hiển thị nó. Việc này không cần phá cơ chế mã hóa dùng giữa những người tham gia. Đó là truy cập vào một trong các thiết bị đầu cuối nơi nội dung đã đọc được.
Không phải tiện ích nào cũng đọc được mọi trang web. Rủi ro phụ thuộc vào các quyền được cấp, hành vi của tiện ích và môi trường trình duyệt. Hãy xem xét phạm vi đó thay vì cho rằng mọi tiện ích đều là phần mềm gián điệp hoặc việc có mặt trên cửa hàng chính thức sẽ loại bỏ rủi ro.
Cách tập lệnh nội dung nhìn thấy một trang
Tài liệu về tập lệnh nội dung của Chrome giải thích rằng các tập lệnh nội dung có thể đọc và sửa Mô hình Đối tượng Tài liệu của trang, hay DOM, trên những trang mà chúng được phép truy cập.
Các tập lệnh này thường chạy trong một thế giới JavaScript cô lập: biến của chúng tách biệt với biến của trang. Tuy nhiên, DOM của trang vẫn là một bề mặt dùng chung. Nếu tin nhắn hoặc bản nháp xuất hiện ở đó, việc cô lập các biến JavaScript không phải lời hứa rằng tiện ích không thể đọc văn bản ấy.
Sự phân biệt này quan trọng vì một tiện ích không cần đánh cắp khóa mã hóa riêng để thu thập một tin nhắn đọc được. Quyền truy cập trang thông thường cũng không tự động cấp mọi khả năng, chẳng hạn quyền truy cập không giới hạn vào tất cả cookie của trình duyệt; các chi tiết đó phụ thuộc vào quyền và giao diện bổ sung.
Vì sao E2EE không giải quyết quyền truy cập thiết bị đầu cuối
Mã hóa đầu cuối bảo vệ nội dung giữa các thiết bị đầu cuối được cho phép. Ứng dụng phải cung cấp nội dung nhận được cho người đọc, và môi trường cục bộ bị xâm phạm hoặc có quá nhiều quyền có thể truy cập bản sao đọc được đó.
Ranh giới mật mã không đơn giản là “socket mạng”, và E2EE không chỉ là mã hóa đường truyền. Nhưng nó không phải biện pháp phòng vệ tổng quát trước phần mềm có thể quan sát đầu ra hoặc đầu vào của thiết bị đầu cuối được cho phép.
Vì cùng lý do đó, nâng cấp sang trao đổi khóa hậu lượng tử không ngăn một tiện ích được cấp quyền đọc bản nháp trước khi nó được mã hóa.
Những biện pháp hữu ích và các tuyên bố nên tránh
| Biện pháp | Có thể giúp điều gì | Không bảo đảm điều gì |
|---|---|---|
| Hạn chế quyền truy cập trang của tiện ích | Giới hạn nơi các tập lệnh được cấp quyền có thể hoạt động | Tiện ích đáng tin cậy trên các trang vẫn được cho phép |
| Hồ sơ riêng không cài thêm tiện ích | Giảm mức tiếp xúc với tiện ích cho hồ sơ đó | Bảo vệ khỏi phần mềm độc hại ở hệ điều hành hoặc trình duyệt bị xâm phạm |
| Web Workers hoặc khóa không thể xuất | Có thể giảm một số rủi ro cụ thể khi xử lý khóa | Tính bí mật của văn bản rõ sau đó được hiển thị cho người dùng |
| Content Security Policy | Hạn chế một số hành vi của tập lệnh và tài nguyên trang | Rào cản phổ quát trước tiện ích được trình duyệt cho phép |
| Shadow DOM hoặc kết xuất bằng canvas | Thay đổi cách kết xuất và đóng gói | Ranh giới bảo mật đáng tin cậy trước phần mềm cục bộ thù địch |
Manifest V3 thay đổi khả năng và quy tắc của tiện ích, nhưng không loại bỏ khả năng đã được ghi trong tài liệu: các tập lệnh nội dung được cấp quyền có thể kiểm tra một trang. Tuyên bố rằng một kỹ thuật kết xuất làm ứng dụng nhắn tin “miễn nhiễm với tiện ích” cần bằng chứng mạnh hơn nhiều.
Kiểm tra quyền Chrome trước một cuộc trò chuyện nhạy cảm
Dùng hướng dẫn quản lý tiện ích của Chrome để xem các tiện ích đã cài và quyền truy cập trang của chúng. Khi tính năng này khả dụng, chỉ cho phép truy cập các trang thực sự cần hoặc yêu cầu kích hoạt khi chọn tiện ích. Gỡ các tiện ích bạn không còn dùng.
Chú ý đến thay đổi quyền, nhưng đừng cho rằng mọi bản cập nhật gây hại đều phải xin quyền mới. Mã có thể lạm dụng quyền truy cập vốn đã có. Tài liệu cảnh báo quyền của Chrome giải thích khi nào quyền bổ sung làm xuất hiện cảnh báo.
Chế độ ẩn danh không tự động là môi trường không có tiện ích: Chrome cho phép bật từng tiện ích ở đó. Hãy kiểm tra cấu hình thực tế. Tương tự, đừng áp dụng một cách không phân biệt tuyên bố về trang web trong Chrome cho ứng dụng máy tính độc lập có môi trường chạy khác.
Nếu bạn nghi tiện ích đã làm lộ tin nhắn
Ngừng dùng môi trường bị ảnh hưởng cho liên lạc nhạy cảm. Tắt hoặc gỡ tiện ích đáng ngờ, cập nhật trình duyệt và xem lại các tiện ích cùng quyền còn lại. Từ một môi trường đáng tin cậy, kiểm tra các phiên tài khoản và làm theo hướng dẫn khôi phục của dịch vụ nếu thông tin đăng nhập hoặc quyền truy cập tài khoản có thể đã bị lộ.
Gỡ tiện ích ngăn nó hoạt động về sau trong trình duyệt đó; việc này không thể thu hồi nội dung đã được sao chép. Lịch sử trò chuyện trông không có gì bất thường không chứng minh rằng chưa có thông tin bị tiết lộ.
Ranh giới của Livara
Mô hình đe dọa của Livara nêu rõ không bảo vệ trước thiết bị đầu cuối bị xâm phạm. Proof Lab cung cấp kiểm tra mã băm APK và minh họa mật mã có phạm vi giới hạn, chứ không chứng nhận phiên trình duyệt không có tiện ích độc hại.
Giữ phạm vi quyền của tiện ích nhỏ nhất có thể trong thực tế. Mã hóa tin nhắn mạnh và thiết bị đầu cuối đáng tin cậy là những yêu cầu bổ sung cho nhau.
