[新聞] 套件漏洞可能導致資料外洩或用戶曝光

[t7yang (t7: 攻城蝨)]

來源：http://www.ithome.com.tw/news/116500

瀏覽器擴充漏洞可能導致資料外洩或用戶曝光，Firefox、Chrome與Safari都受影響

引用的論文是8月的一篇proceeding，看起來是滿新的


這裡稍微節錄部分內容：

發動計時旁路攻擊（timing side-channel）
...
而這種技倆可以繞過所有主要瀏覽器的防護，包括Safari、Chrominum系列的瀏覽器
如Chrome、Opera、Yandex、Comodo Dragon及舊版Firefox等。



這裡談到的舊版Firefox是指非WebExtension的Firefox版本，其實也不完全算舊版

因為當前的Firefox仍可運作舊套件的架構而且

Surprisingly, non-WebExtensions in Firefox suffer
from a different bug that makes even easier to detect the
installed extensions.

看起來現有的架構也挺危險的。



雖然這件事情大家都中招，但是有一點值得反思的是，如果這個市場都是GC的佔領

所有所謂其他的瀏覽器也只是 chromium 的二創，那只要有問題就是大家一起死

而且你沒有其他選擇。保持多元性是相當重要的。



論文裡面還有其他問題，也可以去關注一下。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.113.38.77
※ 文章網址: https://www.ptt.cc/bbs/Browsers/M.1503998317.A.789.html
推 zhtw: Chromium修安全漏洞蠻快的 應該還好ㄅ0.0
噓 brli7848: 人家在講架構多元選擇，你在那邊修洞快速…zZZ
推 Kenqr: 一家獨大基本上都沒好事 安全性只是其中一個考量
推 zhtw: 好氣好氣XDDD  雖然一家獨大不好，但現在就是一家獨大阿
→ zhtw: 小廠商依附Google沒什麼錯 核心安全性交給Chromium團隊的話
→ zhtw: 會比自己做一個核心維護更為安全
→ zhtw: Net Market Share的資料來看 Chrome的市佔率59.57%
→ zhtw: IE 16.5% Fx12.3% 目前有能力維護自己核心的就那幾間
→ zhtw: Google做的比較好，小廠商只好做Chromium殼瀏覽器啦
→ zhtw: 之前問過七星開發者為什麼選擇Chromium基底 他回答較好維護
→ zhtw: 所以Chrome家族一家獨大不是沒有原因的
→ zhtw: 想多元 其實現在也只有Chromium跟Fx基底 能多元到哪我很懷疑
→ t7yang: 天下合久必分，分久必合，讓我們繼續看下去
推 menshuei: 我是認為edge也很不錯。不過瀏覽器對大部份的人只是展現
→ menshuei: 內容的工具，品牌是什麼差不多吧。
推 twtwch: edge能改字體嗎  現在網站越來越多用正黑體。看了頭痛
推 kaoh08: 宅宅相輕 合久必分 看看最近的node.js