En los inicios de los años 2000, las extensiones de navegador comenzaron a captar la atención masiva con su incorporación en Firefox y Chromium, y desde entonces su popularidad ha ido en aumento. Hoy en día, es común que incluso los usuarios promedio tengan al menos una extensión instalada, generalmente un bloqueador de anuncios. Sin embargo, la investigación en torno a la seguridad de estas extensiones está diseminada entre informes de errores individuales y análisis de extensiones maliciosas en Chrome.
Una extensión de navegador se compone de archivos HTML, CSS y JavaScript diseñados para mejorar la experiencia de navegación. Estos archivos operan en su propio dominio, identificado por la ID de la extensión. Además, las extensiones poseen un archivo de configuración crucial llamado manifest.json, donde se detallan la identificación de la extensión, los permisos necesarios y su accesibilidad. Con el avance del ecosistema de navegadores, las versiones de manifest.json también evolucionan, integrando configuraciones de seguridad más robustas.
El análisis de la estructura de las extensiones revela tres contextos principales: el script de página web, el popup y el contexto de fondo. Cada uno tiene sus propias características y permisos, especificados en el archivo manifest.json.
El contexto de fondo es el más potente de los tres, con acceso a la mayoría de las APIs de extensiones de navegador. A través del manifest.json, se pueden solicitar permisos que confieren a la extensión un significativo control sobre la experiencia de navegación del usuario. Aunque estas habilidades están resguardadas por permisos, es fundamental revisar los permisos que solicita una extensión antes de instalarla.
El script de contenido interactúa con el DOM de las páginas web visitadas por el usuario, siendo útil para tareas como la traducción de texto en la página actual. A pesar de que no puede acceder directamente al DOM, permite enriquecer la experiencia de navegación.
Por otro lado, el contexto de popup se compone del HTML y JavaScript que forman el menú emergente al hacer clic en el icono de la extensión, permitiendo frecuentemente al usuario interactuar con la funcionalidad de la extensión.
La seguridad de las extensiones enfrenta riesgos de vulnerabilidades clásicas en JavaScript. Una clave para la protección es el Content Security Policy (CSP), que impone restricciones como la prohibición del uso de unsafe-inline en las extensiones, ayudando a prevenir vulnerabilidades de tipo XSS (Cross-site Scripting).
Las distintas versiones de manifest han mejorado la seguridad en las extensiones. Por ejemplo, las políticas recientes en Chromium requieren permisos explícitos para enviar cookies, reduciendo los riesgos de ataques SSRF (Server-Side Request Forgery).
En conclusión, aunque las extensiones de navegador siguen siendo herramientas valiosas para personalizar y mejorar la experiencia de navegación, es esencial que tanto desarrolladores como usuarios finales sean conscientes de los riesgos potenciales de seguridad. Auditorías y prácticas seguras en el desarrollo de estas herramientas son cruciales para prevenir vulnerabilidades que puedan comprometer la integridad del navegador y la privacidad del usuario.
