Extensions Chrome : Google annonce des changements à venir qui visent à améliorer la sécurité
Extensions Chrome : Google annonce des changements à venir qui visent à améliorer la sécurité,
ainsi que l'expérience utilisateur
Google a annoncé le système d’extensions Chrome il y a près de dix ans. Depuis lors, les extensions Chrome sont devenues extrêmement populaires parmi les utilisateurs de la version Desktop de Chrome. Aujourd'hui, Chrome Web Store compte plus de 180 000 extensions.
L’équipe responsable de l’écosystème a expliqué que « La double mission de l’équipe d’extensions est d’aider les utilisateurs à adapter les fonctionnalités de Chrome à leurs besoins et intérêts individuels, et de permettre aux développeurs de créer des extensions riches et utiles. Mais avant tout, il est essentiel que les utilisateurs puissent faire confiance aux extensions qu’ils installent sont sécurisés, préservent la confidentialité et performants. Les utilisateurs doivent toujours avoir une transparence totale sur l’étendue des capacités de leurs extensions et sur l’accès aux données ».
En effet, en raison de la popularité du navigateur, ces dernières années, les extensions sont devenues une cible pour les pirates informatiques qui y ont vu un vecteur d’infection. « Nous avons récemment pris un certain nombre de mesures pour améliorer la sécurité des extensions avec le lancement d'iframes hors processus, la suppression de l'installation en ligne et des avancées significatives dans notre capacité à détecter et bloquer les extensions malveillantes à l'aide du machine learning. À plus long terme, des modifications plus fondamentales sont nécessaires pour que toutes les extensions Chrome soient fiables par défaut ».
Dans le but de mieux gérer la problématique de la sécurité,Google a annoncé quelques modifications à venir :
Contrôles utilisateur pour les autorisations d'hôte : à compter de Chrome 70, les utilisateurs auront la possibilité de restreindre l'accès à l'hôte d'extension à une liste personnalisée de sites ou de configurer des extensions nécessitant un clic pour accéder à la page actuelle.
« Bien que les autorisations d’hôte aient permis des milliers d’exemples d’utilisation d’extensions puissantes et créatives, elles ont également conduit à une large gamme d’abus - à la fois malveillants et non intentionnels - car elles permettent aux extensions de lire et de modifier automatiquement les données sur les sites Web. Notre objectif est d'améliorer la transparence et le contrôle des utilisateurs lorsque les extensions peuvent accéder aux données du site. Dans les étapes suivantes, nous continuerons d’optimiser l’expérience de l’utilisateur pour atteindre cet objectif tout en améliorant la convivialité. Si votre extension demande des autorisations d’hôte, nous vous encourageons à consulter notre guide de transition et à commencer les tests dès que possible ».
Des modifications apportées au processus de révision des extensions : les extensions nécessitant des autorisations puissantes seront soumises à un examen de conformité supplémentaire. Google va examiner également de très près les extensions qui utilisent du code hébergé à distance, avec une surveillance continue.
Nouvelles exigences de lisibilité du code: à la date de publication du billet, Chrome Web Store n'a plus autorisé les extensions avec du code obscurci. Cela inclut tout code dans un package d'extension ainsi que tout code externe ou toute ressource extraite du Web. Cette politique s'applique immédiatement à toutes les nouvelles soumissions d'extension. Les extensions existantes avec du code obscurci peuvent continuer à soumettre des mises à jour au cours des 90 prochains jours, mais seront supprimées de Chrome Web Store au début du mois de janvier, si elles ne sont pas conformes.
L’équipe explique qu’aujourd'hui, « plus de 70% des extensions malveillantes que nous avons bloqué depuis Chrome Web Store et qui violent nos règles contiennent du code masqué. Dans le même temps, l’obfuscation étant principalement utilisée pour dissimuler les fonctionnalités du code, elle ajoute beaucoup de complexité à notre processus de révision. Ceci n'est plus acceptable étant donné que le processus de révision susmentionné a été modifié ».
De plus, comme le code JavaScript est toujours exécuté localement sur l'ordinateur de l'utilisateur, le masquage est insuffisant pour protéger le code propriétaire d'un ingénieur inversé réellement motivé. Les techniques d'obfuscation comportent également des coûts de performance élevés tels qu'une exécution plus lente et des empreintes de fichiers et de mémoire accrues.
La minification ordinaire, quant à elle, accélère généralement l'exécution du code car elle réduit la taille du code et est beaucoup plus simple à revoir. Ainsi, la minification sera toujours autorisée, y compris les techniques suivantes:
- Suppression des espaces, des nouvelles lignes, des commentaires de code et des délimiteurs de bloc
- Raccourcissement des noms de variables et de fonctions
- Réduction du nombre de fichiers JavaScript
Vérification en 2 étapes requise
En 2019, l'inscription en deux étapes sera requise pour les comptes de développeur Chrome Web Store. Si votre extension devient populaire, elle peut attirer des attaquants qui veulent la voler en piratant votre compte, et la vérification en deux étapes ajoute une couche de sécurité supplémentaire en exigeant une deuxième étape d'authentification à partir de votre téléphone ou d'une clé de sécurité physique.
Pour renforcer la sécurité du compte, l’équipe suggère le programme de protection avancée. Elle explique que « La protection avancée offre le même niveau de sécurité que celui utilisé par Google pour ses propres employés, nécessitant une clé de sécurité physique pour fournir la meilleure protection contre les attaques de phishing ».
Regard vers l'avenir: Manifeste v3
En 2019, l’équipe va présenter la prochaine version du manifeste des extensions. Manifest v3 entraînera des changements supplémentaires sur la plateforme, visant à renforcer la sécurité, la confidentialité et les garanties de performance. « Nous voulons aider tous les développeurs à tomber dans la faille du succès; Écrire une extension sécurisée et performante dans Manifest v3 devrait être facile, tandis que l'écriture d'une extension non sécurisée ou non performante devrait être difficile ».
Certains objectifs clés du manifeste v3 incluent:
- Des API déclaratives de portée plus restreinte, pour réduire le besoin d'un accès trop large et permettre une implémentation plus performante du navigateur, tout en préservant des fonctionnalités importantes
- Mécanismes supplémentaires plus simples permettant aux utilisateurs de contrôler les autorisations accordées aux extensions
- Un modernisme pour s'aligner sur les nouvelles capacités Web, par exemple en supportant Service Workers comme nouveau type de processus d'arrière-plan
Source : Google
Et vous ?
Que pensez-vous de ces changements ?
Voir aussi :
Répondre avec citation
Partager