标签: Chrome

谷歌新规:禁止从第三方来源安装Chrome扩展程序

新浪科技讯 北京时间6月13日中午消息,之前谷歌决定禁止Windows用户从Chrome网上应用店(Web Store)之外的第三方网站直接安装Chrome扩展程序。而根据谷歌的最新规定,从今年夏天开始,所有平台上的用户都不能从官方应用店之外安装Chrome扩展程序。 谷歌指出,在Chrome网上应用店内有说明资料和功能列表,它们能帮助用户做决定,让他们知道是否真的需要安装某个扩展程序。谷歌发现,如果用户是从官方扩展程序入口进入的,安装附加程序之后卸载的机率更低。 对于2018年6月12日(北京时间13日)发布的扩展程序,谷歌禁止使用“内联式安装”(inline installations)功能。从9月12日开始,现有扩展程序也会禁用此功能。如果用户在网络上其它地方点击链接,只会引导到Chrome Web Store,不能从开发者网站或者其它网站直接安装。 2018年12月初,在Chrome 71浏览器中谷歌会完全删除“内联式安装”功能API,到时开发者再也不能使用该选项。   稿源:新浪科技,封面源自网络;

Google Chrome 将从9月开始,默认 HTTPS 页面为安全站点

据外媒 bleepingcomputer 5月17日报道,谷歌正计划停止在地址栏中标记 HTTPS 页面为“安全”站点,换句话说,在没有发现异常的情况下,所有 HTTPS 的站点都会默认为安全,此举将于今年9月份发布的Chrome 69生效。 Chrome安全产品经理Emily Schechter表示,该公司现在可以通过HTTPS实现这一举措,因为Chrome的大部分流量都是通过HTTPS实现的,因此无需再将用户的注意力吸引到“安全”指标。 相反,Chrome将专注于突出显示用户访问不安全的HTTP网站时的情况。这就是为什么Google将把所有的HTTP网站都标记为“不安全”,这项举措从Chrome 68开始,将于7月发布。 此外,Google计划在Chrome 70中改进“不安全”指标,并增加一项动画,只要用户在 HTTP 网站上的表单中输入数据,就会将“不安全”文本变为红色。 这些更新是Google“HTTPS 100%”计划的一部分,最终目的是让加载到 Chrome 中页面都通过 HTTPS 协议。 “我们希望这些变化能够继续为安全使用网页铺平道路,”Schechter说。 “HTTPS比以往更便宜,更容易,并且可以解锁强大的功能 – 所以不要等待迁移到HTTPS!”   稿源:雷锋网,编译:郭佳,封面源自网络;

Google Chrome 66稳定版更新:修复四大严重安全漏洞

本周四Google发布了Chrome 66稳定版维护更新,最新版本号为v66.0.3359.170,目前已经面向Linux、Mac和Windows三大平台开放,重点修复了一些非常严重的安全问题。Google Chrome 66.0.3359.170版本目前共修复了4个安全漏洞,包含能够从沙盒中逃逸的高危漏洞、一个在扩展程序的提权漏洞、一个在V8 JavaScript引擎中类型混乱问题以及PDF查看器PDFium中的堆缓冲区溢出问题。 目前Google并未对外披露具体有多少用户受到这些漏洞影响,官方日志中写道:“在大部分用户安装修复补丁之后我们会公布BUG的细节和链接信息。如果这些BUG依然存在于其他项目所依赖的第三方库中我们也会选择保留。” 除了上文提及的安全漏洞之外,Chrome 66.0.3359.170同时还包含了其他大量修复,因此推荐Chrome用户尽快完成升级,避免被黑客有机可乘。 Stable 稳定版 32位 最新版本:66.0.3359.170,文件大小:46.457MB,查询时间:2018-05-11 04:28 [链接1] [链接2] [链接3] [链接4] SHA1:D41B3356256A232D6891CC86C1C616557BD4AE59, SHA256:35BAF449DC70849EEB6B0DF3F933429422527A5844B7F1F3DFAFD5B1EABF2CD1 Stable 稳定版 64位 最新版本:66.0.3359.170,文件大小:46.879MB,查询时间:2018-05-11 04:28 [链接1] [链接2] [链接3] [链接4] SHA1:D49EE37219DF6972C8B98A2233D3C5DA617F17E1 SHA256:8E0F91236CDC5E8A4EEB529551806890E96D745DA451556BEC8DEE6803D268DE   稿源:cnBeta,封面源自网络;

谷歌账户获得新的验证功能,以防止网络钓鱼攻击

据外媒 BGR 报道,在其 G Suite 博客的更新的一篇博文中,谷歌宣布将为谷歌帐户持有者带来一项新的安全功能,这些帐户持有者也碰巧依靠 Chrome 浏览器进行其网页浏览活动。 谷歌希望通过验证用户登录他们控制的谷歌帐户来提高安全性。此举旨在防止任何人悄悄登录可能属于恶意第三方的谷歌帐户。但是,并非所有谷歌用户都会看到这个新界面,因为这专门针对的是第三方登录。谷歌表示,新的安全功能将于 5 月 7 日开始推出。 稿源:freebuf,封面源自网络;

Chrome 扩展程序可防止基于 JavaScript 的 CPU 旁路攻击

据外媒报道,某学术团队创建了一个名为 Chrome Zero 的 Chrome 扩展程序,据称可阻止使用 JavaScript 代码从计算机中的 RAM 或 CPU 泄露数据的旁路攻击。目前该扩展程序仅在 GitHub 上提供,并且不能通过 Chrome 官方网上商店下载。 安全专家表示,目前有 11 种最先进的旁路攻击可以通过在浏览器中运行的 JavaScript 代码执行。 根据对这些先进的旁路攻击进行研究之后,研究人员确定了 JavaScript 旁路攻击试图利用的 5 种主要数据/特性:JS 可恢复的内存地址、精确的时间信息、浏览器的多线程支持、JS 代码线程共享的数据以及来自设备传感器的数据。 针对以上情况,Chrome Zero 试图通过拦截 Chrome 浏览器应执行的 JavaScript 代码,重写封装器中的某些 JavaScript 函数、属性以及对象来抵御旁路攻击。 尤其值得注意的是,安全专家表示 Chrome Zero 不仅能够消除旁路攻击,并且还具有最低的性能影响。此外,自 Chrome 49 发布以后,Chrome Zero 将能够阻止 50% 的 Chrome  0day 攻击。 消息来源:bleepingcomputer.,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Chrome 难抵恶意下载攻击 数秒内耗尽资源失去响应

在 IT 行业,“ 技术支持诈骗 ” 是一种相当令人不齿的行为。通常情况下,当受害者访问到某个受影响的网站的时候,其浏览器就会被无法轻易消除的 “ 弹窗警告 ” 给遮挡。如果不打电话过去请求付费支援,那么动手能力不佳的用户可能就要干瞪眼了。此前,这类攻击通常面向于微软 Windows 操作系统自带的旧款 IE 浏览器。但是现在,研究人员发现 Google Chrome 也会中招了。  据悉,新型攻击影响 64.0.3282.140 版本的 Google Chrome 浏览器。攻击者会让浏览器立即下载成千上万个文件,让浏览器在数秒内就资源耗竭失去响应。 Malwarebytes 分析师 Jerome Segura 表示,该漏洞利用了 Blob 和 msSaveblob 接口(允许将文件保存到计算机本地的功能)。 当用户不小心踩到地雷(陷阱页面)的时候,就会触发大量的下载,让 CPU 和内存占用率瞬间飙升: ● Segura 将这些网页称作 “ 恶意广告 ”,且其能够通过标准的广告拦截器来应对。 ● 此外,如果下载已被触发,用户也可以调出 Windows 任务管理器,然后手动终结浏览器进程。 Segura 指出,虽然 Chrome 有着严格的批量突发下载限制(文件下载间隔时会征求用户许可),但这种攻击的速度实在是太快了,浏览器根本来不及弹窗询问。 我们在 Windows 7 / 10 系统上进行了测试,在弹出对话框之前,浏览器就已经被卡死了。 如上方动图最后一帧所示,当浏览器弹出是否取消下载的提示时,下载就已经完成了。 甚至在你想要 ‘ 抢先 ’ 关闭标签页的时候,浏览器就已经失去响应了。 在此期间,我们没有看到任何提示 ‘ 接受或拒绝 ’ 下载尝试的对话框。 虽然 Windows Defender 即将推出的更新可以移除恐吓型的应用,但目前不清楚该软件是否有能力拦截这类下载攻击。当然,我们也希望 Google Chrome 能尽快推出一个漏洞修复补丁。 稿源:cnBeta,封面源自网络;

全球 50 多万用户或受到四种恶意 Chrome 扩展影响

外媒 1 月 16 日报道,美国网络安全公司 ICEBRG 发现了四种恶意 Chrome 扩展,用于执行点击欺诈或搜索引擎优化。目前受影响的用户数量已经超过 50 万 ,并且攻击者可能会利用该扩展进一步访问企业网络和用户信息。为了做好防护措施,ICEBRG 通知了荷兰国家网络安全中心(NCSC-NL)、美国计算机应急部署小组(US-CERT)以及 Google 安全浏览运营团队。 近日,ICEBRG 发现客户工作站到欧洲 VPS 提供商的出站流量出现了异常激增,其中包括一些全球主要组织的工作站。因此 ,ICEBRG 对该情况展开了调查。根据调查结果,四种恶意 Chrome 扩展的名称分别是: 1、Change HTTP Request Header(ppmibgfeefcglejjlpeihfdimbkfbbnm) 2、Nyoogle – Custom Logo for Google (ginfoagmgomhccdaclfbbbhfjgmphkph) 3、Lite Bookmarks (mpneoicaochhlckfkackiigepakdgapj) 4、Stickies – Chrome’s Post-it Notes (djffibmpaakodnbmcdemmmjmeolcmbae) 研究人员称这四种 Chrome 扩展允许攻击者以 JavaScript 代码的形式向用户浏览器发送恶意命令,但攻击者只能通过在后台加载一个网站以及点击广告来执行点击欺诈。 在媒体报道该事件时,除了 Nyoogle 之外其他三个恶意扩展已经从 Chrome 网上应用商店删除。不过尽管如此,许多用户仍然在其浏览器中加载了这些恶意扩展程序。 注意: 虽然 Chrome 网上应用商店删除了该恶意扩展,但是可能无法将其从受影响的主机中删除。此外,使用第三方 Chrome 扩展程序库可能仍然允许安装扩展程序。 目前 ICEBRG 已经发布了关于四种恶意 Chrome 扩展的详细报告,并建议用户检查浏览器以及删除其计算机的恶意扩展。 详细报告: <MALICIOUS CHROME EXTENSIONS ENABLE CRIMINALS TO IMPACT OVER HALF A MILLION USERS AND GLOBAL BUSINESSES> 消息来源:Bleeping Computer、Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Chrome 将移除 Public Key Pinning (PKP)支持

Google 宣布了从 Chromium/Chrome 中移除 Public Key Pinning (PKP)支持的计划。PKP 是防止中间人攻击和恶意 CA 的一种证书核查机制。Google 工程师给出的理由 PKP 普及率低和存在技术挑战。 Google 计划在明年 5 月 29 日发布 Chrome 67 正式版时移除对 PKP 的支持。这一计划尚未确定下来,用户仍然可以递交反对意见。根据调查,在 2016 年 3 月所有 HTTPS 网站部署 PKP 的比率为 0.09%,到 2017 年 8 月,部署率只提高到 0.4%。 稿源:solidot 奇客,封面源自网络

Google 公布 Chrome 不信任赛门铁克证书的时间表

因为发现赛门铁克签发了大量有问题的证书,Google 官方博客公布了 Chrome 浏览器不信任赛门铁克证书的时间表: 2017 年 10 月发布的 Chrome 62 将在 DevTools 中加入对即将不受信任的赛门铁克证书的警告; 2017 年 12 月 1 日,DigiCert 将接手赛门铁克的证书签发业务; 2018 年 4 月 17 日发布的 Chrome 66 将不信任 2016 年 6 月 1 日之前签发的证书; 2018 年 10 月 23 日发布的 Chrome 70 将停止信任赛门铁克的旧证书。 受影响的赛门铁克 CA 品牌包括 Thawte、VeriSign、Equifax、GeoTrust 和 RapidSSL,几个独立运作密钥不受赛门铁克控制的次级 CA 得到了豁免,其中包括苹果和 Google。Google 建议使用赛门铁克证书的网站及时更新到受信任证书。 稿源:solidot奇客,封面源自网络;

Google Chrome 扩展开发者屡遭网络钓鱼攻击

Google 安全团队在许多 Chrome 扩展开发者成为钓鱼攻击目标后向他们发出安全警告。据悉,这波钓鱼攻击始于六月中旬,直到两大 Chrome 流行扩展 Copyfish 和 Web Developer 的开发者被窃取账号 ,攻击者推送更新在扩展中加入广告后才被人所熟知。 攻击者诱骗开发者的钓鱼邮件内容类似,都是伪装成来自 Google,通知扩展开发者违反了 Chrome Web Store 的规则,需要更新。当扩展开发者点击网址查看问题时他们会被要求用开发者账号登录,开发者在大意之下就可能会将账号泄漏给攻击者。 稿源:solidot奇客,封面源自网络;