ที่ผ่านมา ปัญหาการแฮกเบราว์เซอร์ด้วยการหลอกให้ติดตั้งส่วนเสริม (extension หรือ add-on) นั้นมีมาอยู่เรื่อยๆ เนื่องจากส่วนเสริมที่ติดตั้งลงในเบราว์เซอร์นั้นได้รับสิทธิ์ในการอ่านและแก้ไขเปลี่ยนแปลงข้อมูลทุกอย่างในหน้าเว็บไซต์ ทำให้ผู้ประสงค์ร้ายใช้ช่องทางนี้ในการควบคุมเบราว์เซอร์ของเหยื่อเพื่อจุดประสงค์สร้างความเสียหาย ตัวอย่างเช่น เปลี่ยนเส้นทางของเว็บไซต์ให้เข้าไปยังเว็บไซต์ปลอมถึงแม้ผู้ใช้จะพิมพ์ที่อยู่ของเว็บไซต์จริง หรือสวมรอยสิทธิ์ในการเข้าใช้งานเว็บไซต์เพื่อแพร่กระจายมัลแวร์ เป็นต้น (ตัวอย่างกรณีที่เคยเกิดขึ้นก่อนหน้านี้ https://www.thaicert.or.th/alerts/user/2016/al2016us001.html)

การแฮกเบราว์เซอร์ด้วยการติดตั้งส่วนเสริมที่เป็นอันตรายนั้นสามารถทำได้หลายวิธี ตั้งแต่การหลอกให้ผู้ใช้ติดตั้งส่วนเสริมนั้นลงในเครื่องโดยตรง แอบติดตั้งมาพร้อมกับโปรแกรมอื่น หรือส่งส่วนเสริมที่เป็นอันตรายนั้นขึ้นไปยัง store โดยตรง ซึ่งในกรณีหลังสุดนี้ ที่ผ่านมาก็เคยมีทั้งแบบที่ผู้ประสงค์ร้ายเผยแพร่ส่วนเสริมที่เป็นอันตรายขึ้นไปบน store ด้วยตนเอง หรือบัญชีของผู้พัฒนาส่วนเสริมถูกขโมยสิทธิ์ในการอัปโหลดข้อมูลขึ้น store ทำให้ผู้ประสงค์ร้ายสามารถแก้ไขโค้ดของไฟล์ให้ทำอันตรายกับเครื่องของเหยื่อได้ จากปัญหาเหล่านี้ ทางผู้พัฒนาเบราว์เซอร์ก็ได้มีการพยายามแก้ไขปัญหากันอยู่เป็นระยะๆ ตั้งแต่การปิดไม่ให้ติดตั้งส่วนเสริมจากภายนอก ไปจนถึงเพิ่มมาตรการตรวจสอบส่วนเสริมของเบราว์เซอร์ก่อนเผยแพร่บน store อย่างไรก็ตาม ผู้ประสงค์ร้ายก็ยังคงสามารถหาวิธีหลบเลี่ยงมาตรการป้องกันได้อยู่เรื่อยๆ

เมื่อวันที่ 1 ตุลาคม 2561 ทาง Google ได้ประกาศปรับปรุงนโยบายการพัฒนาส่วนเสริมของเบราว์เซอร์ Chrome เพื่อให้มีความมั่นคงปลอดภัยมากขึ้น โดยสิ่งที่จะเปลี่ยนในฝั่งของผู้ใช้คือส่วนขยายจำเป็นต้องขอสิทธิ์ในการแก้ไขเปลี่ยนแปลงข้อมูลบนหน้าเว็บไซต์และได้รับอนุญาตจากผู้ใช้ก่อนเท่านั้นถึงจะสามารถดำเนินการได้ ซึ่งสิทธิ์นี้สามารถระบุแบบเฉพาะบางเว็บไซต์ได้ ส่วนการเปลี่ยนแปลงในฝั่งของนักพัฒนาคือทาง Google จะมีการตรวจสอบโค้ดของส่วนเสริมที่จะส่งขึ้น store ด้วย โดยส่วนขยายที่จะได้รับอนุมัตินั้นไม่อนุญาตให้มีการอำพรางโค้ด (obfuscate) ซึ่งเป็นเทคนิคที่ผู้พัฒนามัลแวร์มักจะใช้เพื่อทำให้การวิเคราะห์ฟังก์ชันการทำงานของตัวโปรแกรมทำได้ยากขึ้น นอกจากนี้ทาง Google ยังได้บังคับว่าบัญชีที่นักพัฒนาใช้ในการส่งโค้ดขึ้น store นั้นจะต้องเปิดใช้งานการยืนยันตัวตนแบบ 2 ขั้นตอนด้วย เพื่อเพิ่มความปลอดภัยให้กับบัญชีดังกล่าว

การประกาศนโยบายใหม่นี้อาจไม่มีผลกระทบกับผู้ใช้ทั่วไปมากนักในแง่ของการใช้งาน แต่สำหรับนักพัฒนาส่วนเสริมของเบราว์เซอร์ Chrome อาจจำเป็นต้องศึกษาการเปลี่ยนแปลงในจุดนี้เพื่อป้องกันไม่ให้เกิดปัญหาในอนาคต

<strong>ที่มา:</strong> <a href="http://thcert.co/Qp0dz5">Google |</a> <a href="http://thcert.co/CMqqKg">ZDNet</a> | <a href="https://www.thaicert.or.th/newsbite/2018-10-04-01.html#2018-10-04-01">ThaiCERT</a>