轉載「Chrome 擴充功能可用以竊取網站中的明文密碼」訊息

 【軟體系統資安議題】

Chrome 擴充功能可用以竊取網站中的明文密碼

美國威斯康辛大學麥迪遜分校（University of Wisconsin–Madison）的資安研究人員團隊，近期發現一種攻擊方式，可以透過 Chrome 瀏覽器的擴充功能，竊取網站程式碼中儲存的使用者輸入密碼，且有不少擁有數百萬以上使用者的大型網站，將密碼以明文方式存在網頁 HTML 程式碼中。

研究人員說，問題的根源在於開發人員在撰寫 Chrome 瀏覽器的擴充功能時，往往有個習慣性的做法，就是讓擴充功能能夠存取所有網頁會載入的 DOM 樹狀架構，而不會受到存取範圍的限制，因此導致擴充功能有機會存取到一些像是使用者輸入欄位之類的機敏資訊。

建議網站開發人員應注意此問題，在撰寫程式碼時應嚴守資安最佳實務作法；使用者也應在各網站使用不同的強式密碼，並使用二階段登入驗證。

詳細資訊請參考：https://www.twcert.org.tw/tw/cp-104-7345-1a4e5-1.html