➡Безопасность стека технологий, располагающихся у границы "классического" Web 2, привычного для многих пентестеров и багхантеров, – эксклюзивный раздел инфобеза;
Казалось бы, мы много что знаем о безопасности одной из таких технологий – браузерных расширений, но ведь – в основном – в контексте их злонамеренной опасности 🤔
Посудите: обширный пласт доступного извне материала хоть и посвящён расширениям, но рассматривает в большей степени заведомо вредоносные разработки;
➡А как обстоит вопрос с безопасностью легитимных браузерных расширений?
Мои коллеги из команды Neplox презентовали доклад ‟Attacking Crypto Wallets: an In-Depth Look at Modern Browser Extension Security” на конференции SECCON в Токио ❤️
Их доклад – о проблемах обеспечения безопасности браузерных расширений, о специфике уязвимостей, обнаруженных ими в Web 3 кошельках, и о рекомендованных практиках разработки; Доклад получил награду за лучшую презентацию и его посетил соучредитель Metamask, круто же? ❗️
Принесла нам слайды презентации:
🧩 ‟Attacking Crypto Wallets: an In-Depth Look at Modern Browser Extension Security”
⬇ attacking-crypto-wallets.pdf ⬇
1️⃣ Архитектура расширений
2️⃣ Интерфейсы расширений
3️⃣ Взаимодействие расширений с сайтами
4️⃣ Взаимодействие сайтов с расширениями
5️⃣ Chrome и расширения
💻 Продукты: Coinbase, Crypto.com, Zerion, Uniswap, ...
💻 CVE: CVE-2024-10229, CVE-2024-11110 (by Slonser)
➡Что ещё почитать про безопасность браузерных расширений?
🧩 ‟База знаний: extensions.neplox.security”
🧩 ‟Github Blog: Attacking browser extensions”
🧩 ‟Universal Code Execution by Chaining Messages in Browser Extensions”
➡Stay safe!
@HaHacking 🐇