Plugins e extensões de navegador ampliam as funcionalidades dos navegadores web, como acrescentar bloqueio de anúncios ou gerenciamento de senhas. No entanto, plugins mal programados ou maliciosos podem injetar scripts, capturar o que é digitado e exfiltrar dados sensíveis. Do ponto de vista da segurança client-side, limitar o número de extensões instaladas, mantê-las atualizadas e revisar suas permissões pode frustrar muitos ataques baseados no navegador. Políticas de segurança e controles corporativos costumam restringir ou aprovar previamente certos plugins para evitar a introdução de vulnerabilidades.
As extensões de navegador são pequenos programas que adicionam recursos a um navegador, de bloqueadores de anúncios e gerenciadores de senhas a ferramentas de compras e produtividade. Construídas sobre a API WebExtensions, suportada por Chrome, Firefox e Edge, elas podem receber permissão para ler e alterar as páginas que um usuário visita, acessar o histórico de navegação, interceptar requisições de rede e armazenar dados. Plugins NPAPI mais antigos, como Flash e Java, que executavam código nativo dentro do navegador, foram removidos dos navegadores modernos devido ao seu histórico ruim de segurança; hoje, as palavras plugin e extensão costumam ser usadas de forma intercambiável para designar um complemento instalado. O acesso profundo ao conteúdo da página que torna as extensões úteis é também o que torna uma extensão maliciosa perigosa.
Uma extensão com permissões amplas basicamente é executada como o usuário dentro de cada página. Uma extensão maliciosa ou comprometida pode injetar scripts, ler campos de formulário e cookies de sessão, capturar as teclas digitadas, reescrever o conteúdo da página e exfiltrar dados silenciosamente, comportando-se de forma muito parecida com um ataque man-in-the-browser que nenhum controle no lado do servidor consegue ver. Já foram flagradas extensões removendo cabeçalhos de resposta de segurança, enfraquecendo as próprias proteções de um site. A cadeia de suprimentos é um risco real: extensões populares são compradas por novos donos ou sequestradas por meio de phishing de contas de desenvolvedores e, então, enviadas como uma atualização automática para milhões de usuários que já confiavam nelas. Como o código reside na máquina do usuário, o site que está sendo atacado normalmente não tem nenhuma visibilidade sobre ele.
A defesa é, em grande parte, uma questão de moderação e revisão. Instale o menor número possível de extensões, prefira as bem mantidas de publicadores respeitáveis e examine as permissões solicitadas; um complemento que quer ler dados em todos os sites deve justificar isso. Mantenha as extensões atualizadas, remova as que você não usa mais e, em ambientes gerenciados, use políticas corporativas para incluir em uma lista de permissões os complementos aprovados e bloquear o restante. Os operadores de sites devem reconhecer um limite aqui: como as extensões são executadas no próprio navegador do visitante, fora do controle da página, um site não pode inspecionar nem remover as extensões de um usuário. Ferramentas de monitoramento de scripts e no lado do servidor, incluindo a cside, enxergam os scripts que um site carrega, não os complementos que um visitante instalou, então a última linha de defesa é a própria higiene do usuário.
Historicamente, um plugin era código nativo, como o Flash ou um visualizador de PDF, que era executado dentro do navegador para lidar com conteúdo que o navegador não conseguia processar. As extensões são complementos escritos com APIs de navegador que modificam a própria navegação. Os plugins nativos foram, em grande parte, aposentados por motivos de segurança, então hoje os termos costumam ser usados com o mesmo sentido.
Às vezes, de forma indireta. Os sites não conseguem listar suas extensões, mas alguns detectam extensões específicas pelos recursos que elas injetam ou pelas mudanças que fazem em uma página, e essa detecção pode até alimentar o fingerprinting. No entanto, um site não pode controlar nem remover suas extensões; gerenciá-las cabe a você ou à sua organização.
We answer client-side security questions every day. Bring yours.