En la primera década del siglo XXI, las extensiones para navegadores captaron la atención pública con su inclusión en Firefox y Chromium, incrementando su popularidad hasta el día de hoy. Ahora, es común que incluso los usuarios comunes tengan al menos una extensión instalada, con los bloqueadores de anuncios siendo los más populares. A pesar de su uso generalizado, la investigación sobre la seguridad de estas extensiones está fragmentada, dispersa entre informes individuales de errores y la cobertura de extensiones maliciosas en Chrome.
Una extensión de navegador consiste en archivos HTML, CSS y JavaScript que trabajan juntos para mejorar la experiencia de navegación. Estos archivos se ejecutan en su propio dominio, identificado por la ID de la extensión. Además, cuentan con un archivo de configuración crucial llamado manifest.json, que establece la identificación de la extensión, los permisos requeridos y su accesibilidad. A medida que evoluciona el ecosistema de los navegadores, las versiones de manifest.json también han avanzado, adoptando configuraciones de seguridad más estrictas.
El análisis de la estructura de las extensiones revela tres contextos principales donde pueden ejecutarse los archivos: el script en la página web, el popup y el contexto de fondo. Cada uno tiene características y permisos únicos, especificados en el archivo manifest.json.
El contexto de fondo es el más poderoso, ya que puede acceder a la mayoría de las API de extensiones. A través del manifest.json, pueden solicitarse permisos que, una vez concedidos, otorgan a la extensión un control significativo sobre la experiencia del usuario. A pesar de contar con protección de permisos, es vital revisar los permisos solicitados antes de instalar una extensión.
El script de contenido interactúa con el DOM de las páginas visitadas, útil para tareas como la traducción de texto. Aunque no puede acceder directamente al DOM, permite enriquecer la navegación.
El contexto de popup está formado por el HTML y JavaScript del menú que aparece al hacer clic en el icono de la extensión, permitiendo al usuario interactuar directamente con su funcionalidad.
La seguridad de las extensiones se enfrenta a riesgos de vulnerabilidades clásicas de JavaScript. El Content Security Policy (CSP) es clave para la protección, imponiendo restricciones como la prohibición del uso de unsafe-inline, lo que ayuda a impedir vulnerabilidades de XSS.
Las mejoras en las versiones de manifest han aumentado la seguridad. Por ejemplo, las políticas recientes en Chromium requieren permisos explícitos para enviar cookies, reduciendo ataques como el SSRF.
En conclusión, aunque las extensiones siguen siendo una herramienta valiosa para personalizar y mejorar la navegación, es crucial que desarrolladores y usuarios sean conscientes de los riesgos de seguridad. Auditorías y prácticas seguras en su desarrollo son esenciales para prevenir vulnerabilidades que puedan comprometer la integridad del navegador y la privacidad del usuario.
