लोकप्रिय Chrome एक्स्टेन्शन्सकडून डेटा गळती, असुरक्षित HTTP वापरामुळे गंभीर गोपनीयता धोका

Google Chrome वरील अनेक लोकप्रिय एक्स्टेन्शन्स वापरकर्त्यांचा संवेदनशील डेटा असुरक्षित HTTP कनेक्शन्सद्वारे पाठवत आहेत. यामुळे लाखो वापरकर्त्यांना गंभीर गोपनीयता आणि सुरक्षा धोक्यांना सामोरे जावे लागत आहे. 

Image Credit: social media

एका अलीकडील तपासणीत असं उघड झालं आहे की Google Chrome वरील अनेक लोकप्रिय एक्स्टेन्शन्स वापरकर्त्यांचा संवेदनशील डेटा असुरक्षित HTTP कनेक्शन्सद्वारे पाठवत आहेत, ज्यामुळे लाखो वापरकर्त्यांना गंभीर गोपनीयता आणि सुरक्षा धोक्यांना सामोरे जावे लागते आहे.

सायबर्सिक्युरिटी कंपनी Symantec यांनी त्यांच्या ब्लॉगमध्ये प्रकाशित केलेल्या या संशोधनात खालील Chrome एक्स्टेन्शन्सचा उल्लेख करण्यात आला आहे.

PI Rank (ID: ccgdboldgdlngcgfdolahmiilojmfndl)

Browsec VPN (ID: omghfjlpggmjjaagoclmmobgdodcjboh)

MSN New Tab (ID: lklfbkdigihjaaeamncibechhgalldgl)

SEMRush Rank (ID: idbhoeaiokcojcgappfigpifhpkjgmab)

DualSafe Password Manager & Digital Vault (ID: lgbjhdkjmpgjgcbcdlhkokkckpjmedgc)

यांशिवाय इतरही अनेक एक्स्टेन्शन्स आहेत जे वापरकर्त्यांचा डेटा अशा पद्धतीने हाताळतात की तो सहज हॅकिंग, प्रोफाईलिंग किंवा इतर सायबर हल्ल्यांसाठी वापरला जाऊ शकतो.

गोपनीयता देण्याचा दावा करणाऱ्या एक्स्टेन्शन्सकडूनच गोपनीयतेचा भंग

ही एक्स्टेन्शन्स वैध असली तरी जसं की पासवर्ड मॅनेजमेंट, वेब रँक मॉनिटरिंग किंवा ब्राउझिंग अनुभव सुधारण्यासाठी त्या वापरकर्त्यांच्या नकळत डेटा HTTP (unencrypted) वरून पाठवत आहेत. यामुळे नेटवर्कवरील कोणीही तो डेटा सहजपणे वाचू शकतो.

काही प्रकरणांमध्ये, हा डेटा वापरकर्त्यांनी भेट दिलेल्या वेबसाइट्स, ऑपरेटिंग सिस्टमची माहिती, मशीनचे युनिक ID, आणि टेलिमेट्री डेटा यासारखा असतो. याहून धोकादायक बाब म्हणजे, काही एक्स्टेन्शन्समध्ये Source Code मध्येच API Keys, Tokens, आणि Secrets हार्डकोड केलेले होते, जे हॅकर्ससाठी मोठं संधीचं दार उघडतात.

सार्वजनिक नेटवर्कवर अधिक धोका

HTTP वापरल्यास, माहिती सोप्या मजकूरात (plaintext) पाठवली जाते. सार्वजनिक Wi-Fi सारख्या नेटवर्कवर, हॅकर सहजपणे हा डेटा पकडू शकतो. आणि गरज वाटल्यास तो डेटा बदलू देखील शकतो.

Symantec च्या म्हणण्यानुसार, Browsec VPN या ६ मिलियनपेक्षा जास्त वापरकर्त्यांसह असलेल्या एक्स्टेन्शनमध्ये, uninstall प्रक्रिये दरम्यान HTTP द्वारे वापरकर्त्यांची माहिती आणि usage stats पाठवली जात होती. ही एक्स्टेन्शन असुरक्षित वेबसाइट्सशी कनेक्ट होऊ शकते. जे संपूर्ण सुरक्षा रचनेला धोका देते.

डेटा गळतीचे इतर पैलू

SEMRush Rank आणि PI Rank एक्स्टेन्शन्स, ज्या वेबसाइट्सची लोकप्रियता दर्शवण्यासाठी वापरल्या जातात, त्या वापरकर्त्यांनी भेट दिलेल्या पूर्ण URLs HTTP द्वारे तृतीय-पक्ष सर्व्हरकडे पाठवत होत्या.

MSN New Tab आणि MSN Homepage हे एक्स्टेन्शन्स, ज्यांना लाखो वापरकर्ते आहेत, ते मशीन ID आणि इतर डिव्हाइस माहिती पाठवत होते. हे ID काळानुसार बदलत नाहीत, त्यामुळे हल्लेखोर एका वापरकर्त्याचे अनेक सत्रांमधील ब्राउझिंग प्रोफाईल तयार करू शकतात.

DualSafe Password Manager, ज्याने पासवर्ड व्यवस्थापनासारखी अत्यंत संवेदनशील जबाबदारी घेतली आहे, तीही टेलिमेट्री डेटा HTTP वरून पाठवत होती. जरी पासवर्ड गळलेले नसले, तरी अशा एक्स्टेन्शनच्या संपूर्ण डिझाइनवरच प्रश्नचिन्ह निर्माण होते.

विशेषज्ञांचा इशारा

Patrick Tiquet, Keeper Security मधील VP - Security & Architecture म्हणाले

“ही घटना एक्स्टेन्शन सुरक्षा व्यवस्थेतील मोठी त्रुटी अधोरेखित करते. लोकप्रिय Chrome एक्स्टेन्शन्ससुद्धा वापरकर्त्यांना धोका पोहोचवू शकतात जर विकासकांनी अर्धवट उपाय वापरले. HTTP द्वारे डेटा पाठवणे, Source Code मध्ये Secret ठेवणे, हे वापरकर्त्यांना फिशिंग, मिडल-मॅन अटॅक्ससाठी उघडं करतं.”

त्यांनी हेही सांगितलं की

“संस्थांनी अशा एक्स्टेन्शन्सच्या वापरावर नियंत्रण आणणं, सीक्रेट्सचं योग्य व्यवस्थापन करणं आणि endpoint वर संशयास्पद वर्तन मॉनिटर करणं गरजेचं आहे.”

गोपनीयतेचा गंभीर धोका

जरी सध्यापर्यंत कोणतेही पासवर्ड किंवा आर्थिक माहिती गळली नसली, तरी मशीन IDs, ब्राउझिंग डेटा आणि टेलिमेट्रीसारखी माहितीही फार धोकादायक ठरू शकते.

NordVPN च्या अलीकडील अहवालात असं आढळलं की, 94 अब्ज ब्राउझर कुकीज Dark Web वर आढळल्या. जर या कुकीज आणि वर उल्लेखित गळती एकत्र केल्या गेल्या, तर संभाव्य नुकसान मोठं असू शकतं.

डेव्हलपर्सनी Source Code मध्ये हार्डकोड केलेले API Keys आणि सीक्रेट्स ठेवणं हे फारच धोकादायक आहे. अशा गोष्टी हल्लेखोरांच्या हाती पडल्यास ते एक्स्टेन्शनची नक्कल करू शकतात, चुकीचा डेटा पाठवू शकतात किंवा डेव्हलपरच्या खात्याचं गैरवापर करू शकतात.

वापरकर्त्यांनी काय करावं?

Symantec ने संबंधित डेव्हलपर्सना संपर्क साधला आहे, पण सध्या DualSafe Password Manager वगळता इतरांनी ही त्रुटी दुरुस्त केलेली नाही.

तरी, ज्यांनी वरील एक्स्टेन्शन्स इन्स्टॉल केल्या आहेत, त्यांनी त्या त्वरित काढून टाकाव्यात, जोपर्यंत त्या पुन्हा सुरक्षित केल्या जात नाहीत.

Hackread.com च्या मते, वापरकर्त्यांनी

एक्स्टेन्शन्सना दिल्या जाणाऱ्या अनुमतींवर लक्ष ठेवावं,

अज्ञात प्रकाशक टाळावेत,

विश्वासार्ह सुरक्षा उपाय वापरावेत.

सर्वात महत्त्वाचं म्हणजे, कोणतीही गोपनीयता किंवा सुरक्षा देण्याचं आश्वासन देणारी टूल वापरण्याआधी, ती खरंच सुरक्षित आहे का हे तपासणं अत्यावश्यक आहे.