En los primeros años de la década de 2000, las extensiones para navegadores comenzaron a captar la atención del público con su adopción por parte de Firefox y Chromium, y desde entonces su popularidad ha ido en aumento. Hoy en día, es común que incluso los usuarios promedio tengan al menos una extensión instalada, siendo los bloqueadores de anuncios los más populares. Sin embargo, la investigación sobre la seguridad de estas extensiones se encuentra dispersa, con informes de errores individuales y cobertura de extensiones maliciosas de Chrome.
Una extensión de navegador es un conjunto de archivos HTML, CSS y JavaScript que trabajan juntos para mejorar la experiencia de navegación. Estos archivos suelen ejecutarse en su propio dominio, identificado por la extensión. Además, cuentan con un archivo de configuración crucial llamado manifest.json, el cual enumera la identificación de la extensión, los permisos requeridos y la accesibilidad. A medida que el ecosistema de navegadores evoluciona, las versiones de manifest.json también avanzan, implementando configuraciones de seguridad más estrictas.
El análisis de la estructura de las extensiones revela tres contextos principales para la ejecución de los archivos: el script de página web, el popup y el contexto de fondo (background). Cada uno tiene características y permisos específicos, detallados en el archivo manifest.json.
El contexto de fondo es el más poderoso de los tres, con la capacidad de acceder a la mayoría de las API de extensiones de navegador. A través de manifest.json, se pueden solicitar permisos que, una vez otorgados, otorgan a la extensión un gran control sobre la experiencia de navegación del usuario. Aunque estas capacidades están protegidas por permisos, es crucial revisar los permisos solicitados antes de instalar una extensión.
El script de contenido interactúa con el DOM de las páginas web visitadas por el usuario, siendo útil para tareas como la traducción de texto en la página actual. Aunque el script de contenido no puede acceder directamente al DOM, sí permite enriquecer la experiencia de navegación.
El contexto de popup está compuesto por el HTML y JavaScript del menú que aparece al hacer clic en el icono de la extensión, permitiendo frecuentemente al usuario interactuar con la funcionalidad de la misma.
La seguridad de las extensiones enfrenta riesgos de vulnerabilidades clásicas en JavaScript. Una pieza clave para la protección es la Content Security Policy (CSP), que impone restricciones como la prohibición del uso de unsafe-inline en las extensiones, ayudando a prevenir vulnerabilidades de XSS (Cross-site Scripting).
Distintas versiones de manifest han mejorado la seguridad de las extensiones. Por ejemplo, las políticas más recientes introducidas en Chromium requieren permisos explícitos para enviar cookies, reduciendo así la posibilidad de ataques SSRF (Server-Side Request Forgery).
En conclusión, aunque las extensiones de navegador son una herramienta valiosa para personalizar y mejorar la experiencia de navegación, es crucial que tanto desarrolladores como usuarios finales sean conscientes de los riesgos de seguridad potenciales. Auditorías y prácticas seguras en el desarrollo de estas herramientas son esenciales para prevenir vulnerabilidades que puedan comprometer la integridad del navegador y la privacidad del usuario.
