JavaScript-baserade webbläsartillägg (JSE) förbättrar den centrala funktionaliteten hos webbläsare genom att förbättra deras utseende och känsla, och är allmänt tillgängliga för råvaruwebbläsare. För att möjliggöra en rik uppsättning funktioner kör webbläsare vanligtvis JSEs med förhöjda rättigheter. Till exempel, till skillnad från JavaScript kod i en webbapplikation, kod i en JSE begränsas inte av samma ursprung politik. Skadliga JSEs kan missbruka dessa privilegier för att äventyra sekretess och integritet, t.ex. genom att stjäla känslig information, såsom cookies och sparade lösenord, eller köra godtycklig kod på värdsystemet. Även om en JSE inte är uppenbart skadlig, sårbarheter i JSE och webbläsaren kan tillåta en fjärrangripare att äventyra webbläsarens säkerhet. Vi presenterar Sabre (Security Architecture for Browser Extensions), ett system som använder informationsflödesspårning i browser för att analysera JSE. Sabre associerar en etikett med varje in-minne JavaScript-objekt i webbläsaren, vilket avgör om objektet innehåller känslig information. Sabre sprider etiketter som objekt ändras av JSE och passerar mellan webbläsarundersystem. Sabre väcker en varning om ett objekt som innehåller känslig information nås på ett osäkert sätt, t.ex. om en JSE försöker skicka objektet över nätverket eller skriva det till en fil. Vi implementerade Sabre genom att ändra Firefox webbläsare och utvärderade det med både skadliga JSE och godartade som innehöll exploaterbara sårbarheter. Våra experiment visar att Sabre exakt kan identifiera potentiella informationsflödesbrott från JSE:s sida.
Dhawan och Ganapathy REF implementera en dynamisk informationsflödesanalys för webbläsartillägg i Firefox webbläsare.
Analyzing Information Flow in JavaScript-Based Browser Extensions
{'venue': '2009 Annual Computer Security Applications Conference', 'journal': '2009 Annual Computer Security Applications Conference', 'mag_field_of_study': ['Computer Science']}