معظم الناس أكثر حذراً عند تثبيت تطبيق جوال مقارنة بإضافة متصفح. هذا الحدس معكوس. عادة ما يعمل تطبيق الهاتف داخل بيئة معزولة بصلاحيات ضيقة ومحددة يمكن للمستخدم فحصها وإلغاءها. أما إضافة المتصفح، على النقيض، فغالباً ما تستطيع قراءة وتعديل محتوى كل صفحة تزورها، بما في ذلك موقع البنك الذي سجلت دخولك إليه وعلامة تبويب بريدك الإلكتروني المفتوحة بجانبها. كما تخضع الإضافات لفحص أقل بكثير من التطبيقات في معظم المتاجر، وعلى عكس التطبيق، يمكن أن تتغير ملكية الإضافة بهدوء بعد فترة طويلة من تثبيتك لها، فتتحول أداة كنت تثق بها إلى شيء مختلف تماماً دون أن تضغط "تثبيت" مرة أخرى. فهم سبب وجود هذه الفجوة، وكيفية رصد علاماتها التحذيرية، يزداد أهمية مع تحول المتصفح إلى المكان الذي تجري فيه معظم الحياة الرقمية اليومية فعلياً.
ما الصلاحيات التي تحصل عليها الإضافات فعلياً
تحتاج إضافة متصفح مفيدة نموذجية، سواء كانت أداة تدوين ملاحظات أو باحث كوبونات تسوق أو مساعد كتابة، لقراءة النص الموجود على الصفحة لأداء وظيفتها، ما يعني أن المتصفح يجب أن يمنحها وصولاً لمحتوى الصفحة بأكملها، وليس فقط الأجزاء ذات الصلة بوظيفتها.
هذا يختلف جوهرياً عن كيفية تعامل أنظمة تشغيل الجوال مع الصلاحيات، حيث قد يُمنح تطبيق ما وصولاً للكاميرا أو الميكروفون أو جهات الاتصال بشكل فردي، ويمكن للمستخدم إيقاف أي منها دون كسر بقية وظائف التطبيق.
صلاحيات إضافات المتصفح أكثر خشونة بكثير: إضافة تريد قراءة السعر على صفحة تسوق تمتلك تقنياً نفس مستوى الوصول لإضافة تريد قراءة جلسة الخدمات المصرفية عبر الإنترنت، لأن كلتيهما تعملان عبر نفس صلاحية "الوصول لمحتوى هذه الصفحة" الواسعة.
لماذا تُفحّص متاجر التطبيقات بصرامة أكبر
تُخضِع متاجر التطبيقات الرئيسية التطبيقات المُقدَّمة لفحص آلي، وأحياناً مراجعة يدوية، تتحقق من توقيعات برمجيات خبيثة معروفة وسلوك شبكي مريب وانتهاكات السياسات قبل أن يصل التطبيق أبداً لجهاز المستخدم.
أظهرت أسواق إضافات المتصفح تاريخياً مراجعة أخف، جزئياً لأن الإضافات قطع برمجية أصغر وأبسط تبدو أقل خطورة ظاهرياً، وجزئياً لأن الحجم الهائل من الإضافات المُقدَّمة يجعل المراجعة اليدوية الشاملة غير عملية على هذا النطاق.
هذا لا يعني أن متاجر الإضافات لا تُجري أي فحص إطلاقاً؛ تلتقط عمليات المسح الآلي فعلاً حصة معتبرة من الشيفرة الخبيثة الواضحة، لكن المراجعة عموماً أسرع وأقل شمولاً مما يخضع له تطبيق مصرفي أو تطبيق اجتماعي واسع الانتشار قبل الموافقة عليه.
مشكلة نقل الملكية
أحد أكثر مخاطر إضافات المتصفح تمييزاً أن مطوراً صغيراً يبني شيئاً مفيداً فعلياً قد يبيع الإضافة لاحقاً، مع قاعدة مستخدميها الحالية، لمشترٍ ذي مصالح مختلفة جداً عن مصالح المطور الأصلي.
ولأن الإضافة تمتلك بالفعل صلاحيات ممنوحة وقاعدة تثبيت قائمة، لا يحتاج المالك الجديد أن يوافق المستخدمون على أي شيء جديد؛ يمكن لتحديث خلفي روتيني أن يغيّر بهدوء ما تفعله الإضافة، مضيفاً تتبعاً أو حقن إعلانات أو جمع بيانات لم يكن أبداً جزءاً من الأداة الأصلية.
تكرر هذا النمط مراراً مع إضافات شائعة لكن ناقصة الموارد، حيث يقبل المطور الأصلي، الذي غالباً ما يصون الأداة مجاناً في وقت فراغه، عرضاً من شركة يعتمد نموذج عملها على حصاد بيانات التصفح على نطاق واسع.
كيف تطورت نماذج صلاحيات البيان
قدّم صانعو المتصفحات معايير منصة إضافات أحدث تحديداً لتضييق ما تستطيع الإضافات فعله افتراضياً، مطالبة بطلبات صلاحيات أكثر وضوحاً وتفصيلاً بدلاً من منح واحد واسع يغطي كل محتوى الصفحة.
بموجب هذه النماذج الأحدث، يُتوقَّع من الإضافة عموماً طلب الوصول فقط للمواقع أو الإجراءات المحددة التي تحتاجها، ويمكن للمستخدمين رؤية ذلك الوصول وتعديله في بعض المتصفحات على أساس كل موقع بدلاً من منح وصول شامل في كل مكان.
كان الانتقال تدريجياً وغير مُتبنى عالمياً، إذ يعتمد بعض مطوري الإضافات على الوصول الواسع لتقديم وظيفتهم الأساسية، وتستمر إضافات أقدم مبنية على نماذج صلاحيات سابقة في الوجود على بعض المتصفحات حتى مع طرح المعايير الأحدث.
لماذا تُعد الإضافات قناة شائعة لحقن الإعلانات
حقن الإعلانات أحد أكثر أشكال إساءة استخدام الإضافات شيوعاً، حيث تُدرج الإضافة بهدوء إعلانات إضافية في الصفحات التي يزورها المستخدم، وأحياناً تستبدل إعلانات الموقع نفسه بإعلانات أخرى يربح منها مشغّل الإضافة بدلاً منه.
هذا جذاب لمرتكبي الأفعال الخبيثة لأنه دقيق نسبياً؛ لا يزال المستخدم يرى صفحة تعمل بشكل طبيعي مع إعلانات عليها، ما لا يبدو مريباً تلقائياً، خاصة أن مواقع شرعية عديدة تحمل بالفعل إعلانات كبيرة.
يمكن للإعلانات المحقونة أيضاً أن تعمل كقناة توزيع لعمليات احتيال إضافية، إذ يمكن لإضافة تتحكم بالإعلانات الظاهرة توجيه المستخدمين نحو عروض احتيالية أو تنزيلات برمجيات مزيفة أو صفحات تصيّد متنكرة كترويج عادي.
كيف تحدث سرقة بيانات الاعتماد عبر الإضافات
ولأن إضافة مُخترَقة تستطيع قراءة محتوى أي صفحة يزورها المستخدم، بما فيها صفحات تحتوي نماذج تسجيل دخول، فهي قادرة تقنياً على التقاط أسماء المستخدمين وكلمات المرور أثناء كتابتها، حتى على مواقع تستخدم اتصالات مشفرة قياسية.
هذا يختلف عن هجوم على مستوى الشبكة، إذ تعمل الإضافة بعد تحميل الصفحة بأمان في المتصفح بالفعل؛ التشفير الذي يحمي البيانات أثناء النقل لا يحمي من شيء يعمل بالفعل داخل المتصفح ويقرأ محتوى الصفحة مباشرة.
تستهدف بعض الإضافات الخبيثة ملفات جلسة تعريف الارتباط تحديداً بدلاً من كلمات المرور، إذ يمكن لملف جلسة مسروق أن يسمح لمهاجم بانتحال شخصية مستخدم مسجل دخوله بالفعل دون الحاجة لكلمة المرور إطلاقاً، متجاوزاً إجراءات أمنية إضافية عديدة في هذه العملية.
علامات قد تشير لخطورة إضافة
تغيّر مفاجئ وغير مُفسَّر في سلوك إضافة بعد تحديث تلقائي، مثل ظهور إعلانات جديدة على صفحات لم تظهر عليها أبداً من قبل، أحد أوضح العلامات التحذيرية على أن شيئاً في شيفرة الإضافة أو ملكيتها قد تغيّر.
الإضافات التي تطلب صلاحيات أوسع بكثير مما تتطلبه وظيفتها المعلنة منطقياً، مثل إضافة آلة حاسبة بسيطة تطلب وصولاً لكل موقع يُزار، تستحق التعامل بشك حتى قبل أن تصبح أي مشكلة ظاهرة.
فجوة طويلة بين تحديثات المطور تليها موجة مفاجئة من التغييرات، خاصة تغييرات في ملكية الإضافة أو اسم الناشر في قائمة المتجر، نمط سبق عدة حالات موثقة لإضافات تحوّلت خبيثة.
لماذا عدد المراجعات والتقييمات النجمية غير كافٍ
عدد تثبيت مرتفع ومتوسط تقييم قوي يعكسان بشكل أساسي أداء الإضافة وقت كتابة تلك المراجعات، وليس بالضرورة سلوكها اليوم، خاصة إذا تغيّرت الملكية أو الشيفرة منذ نشر معظم تلك المراجعات.
المراجعات المزيفة وأعداد التثبيت المُضخَّمة مشكلة موثقة أيضاً في أسواق الإضافات، إذ تنطبق نفس الحوافز التي تدفع المراجعات المزيفة على منصات أخرى هنا، وقائمة مصقولة لا تضمن أن الشيفرة الأساسية آمنة.
إشارة أكثر فائدة هي فحص ما إذا كانت المراجعات الحديثة، مُرتَّبة حسب التاريخ بدلاً من الصلة، تذكر مشاكل جديدة، إذ يمكن لتجمع شكاوى حديثة حول إعلانات غير متوقعة أو بطء أن يكشف تغيير ملكية أو شيفرة قبل أن يُبلَّغ عنه على نطاق واسع.
دور التصميم بأقل صلاحيات ممكنة
تحاول الإضافات جيدة التصميم بشكل متزايد طلب أضيق صلاحيات ممكنة لوظيفتها، وتقتصر أحياناً على مواقع محددة بدلاً من طلب وصول شامل لكل صفحة يزورها المستخدم.
هذا النهج عمل أكبر للمطورين، إذ يتطلب تصميم شيفرة أكثر دقة لتجنب الحاجة للوصول الواسع كحل مختصر، لكنه يحد بشكل كبير من الضرر الذي يمكن أن تُحدثه نسخة مُخترَقة أو خبيثة لاحقاً من الإضافة.
يستطيع المستخدمون المهتمون بتقليل المخاطر غالباً تقييد وصول إضافة يدوياً حتى بعد تثبيتها، في متصفحات تدعم ضوابط صلاحيات لكل موقع، ما يقلص فعلياً نطاق الإضافة لتقتصر على حيث تُحتاج فعلياً فقط.
لماذا تتعامل بيئات الشركات مع الإضافات بشكل مختلف
تحتفظ المؤسسات ذات فرق أمن معلومات مخصصة بقوائم إضافات معتمدة وتمنع تثبيت أي شيء خارج تلك القائمة على أجهزة الشركة، متعاملة مع إضافات المتصفح بنفس الحذر المخصص عادة لتثبيت برمجيات جديدة على جهاز عمل.
يعكس هذا إدراكاً أن إضافة واحدة مُخترَقة على متصفح موظف واحد يمكن أن تُعرِّض بيانات اعتماد أو بيانات داخلية عبر أنظمة يملك ذلك الموظف صلاحية الوصول إليها، ما يجعل المتصفح نفسه سطح هجوم ذا معنى في نموذج أمن الشركات.
نادراً ما يمتلك المستخدمون الأفراد ما يعادل فريق أمن معلومات يراجع اختياراتهم للإضافات، وهذا جزء من سبب وقوع عبء تقييم مصداقية الإضافة بالكامل على عاتق الشخص الذي يثبتها.
كيفية مراجعة الإضافات التي تملكها بالفعل
مراجعة قائمة الإضافات المثبتة بالكامل دورياً، بدلاً من التفكير فقط بالإضافات الجديدة المُضافة، تكشف أدوات كانت مفيدة يوماً ما لكن نُسيت منذ ذلك الحين، ولا تزال تعمل بصلاحياتها الواسعة الأصلية في الخلفية.
إزالة الإضافات التي لم تعد قيد الاستخدام الفعلي تُزيل خطراً مستمراً دون أي تكلفة حقيقية، إذ لا تُقدِّم إضافة غير مُستخدَمة أي فائدة بينما لا تزال تحتفظ بأي وصول مُنح لها أصلاً.
بالنسبة للإضافات لا تزال قيد الاستخدام الفعلي، فحص اسم الناشر مقابل ما كان عليه وقت التثبيت، حين تتوفر تلك المعلومة في قائمة المتجر أو سجل التحديثات، يمكن أن يكشف تغيير ملكية قد يمر دون ملاحظة خلاف ذلك.
حدود الحماية على مستوى المتصفح
يُجري صانعو المتصفحات فحصهم الخاص ويستطيعون إزالة إضافات تبيّن أنها خبيثة لاحقاً، لكن هذا رد فعل بطبيعته، ما يعني أن عدداً معيناً من المستخدمين يتأثرون عادة قبل التعرف على إضافة سيئة وسحبها.
أنظمة الكشف الآلي جيدة في التقاط أنماط برمجيات خبيثة معروفة لكنها أقل موثوقية ضد أساليب جديدة، خاصة نمط نقل الملكية حيث قد لا تبدو الشيفرة نفسها خبيثة بوضوح حتى مع تغيّر سلوكها الفعلي.
هذه الفجوة بين ما يستطيع الفحص الآلي التقاطه وما يستطيع مرتكبو الأفعال الخبيثة العازمون فعله هي بالضبط سبب بقاء اليقظة الفردية، وليس فحص المتجر وحده، جزءاً مهماً من البقاء آمناً مع الإضافات.
الإضافات مقابل ميزات المتصفح المُدمَجة
وظائف عديدة كان الناس يحتاجون إضافات لها يوماً ما، مثل منع الإعلانات الأساسي أو إدارة كلمات المرور أو تنسيق وضع القراءة، أُدمِجت تدريجياً مباشرة في المتصفحات نفسها، ما يُقلل الحاجة لمنح طرف ثالث وصولاً واسعاً للصفحة من أجل تلك الوظيفة.
اختيار ميزة متصفح مُدمَجة على إضافة مماثلة، حين توجد واحدة تلبي احتياجات المستخدم، يُقلل المخاطر عموماً، إذ يمتلك مُصنِّع المتصفح حوافز وموارد أقوى لتأمين ميزاته الأساسية الخاصة من مراقبة كل إضافة طرف ثالث.
يُقلص هذا الاتجاه تدريجياً دور نظام الإضافات لأكثر حالات الاستخدام شيوعاً، رغم أن الإضافات تبقى أساسية لمهام أكثر تخصصاً أو تفصيلاً من غير المرجح أن يبنيها صانعو المتصفحات أصلاً.
ما تفعله الجهات التنظيمية وصانعو المتصفحات
قدّمت بعض منصات المتصفحات متطلبات إفصاح أكثر صرامة، تُلزم مطوري الإضافات بذكر البيانات المُجمَّعة وكيفية استخدامها بوضوح، بعيداً عن تفسيرات خصوصية غامضة أو غائبة كانت شائعة في أنظمة إضافات أقدم.
عمليات التطهير الدورية التي تُزيل إضافات تبيّن أنها تنتهك السياسة، مؤثرة أحياناً على إضافات بملايين التثبيتات مجتمعة دفعة واحدة، توضح أن الإنفاذ يحدث فعلاً وأن إضافات إشكالية يمكن أن تعمل على نطاق ذي معنى قبل اكتشافها.
هذه الجهود مستمرة وليست مشكلة محلولة؛ التوتر الأساسي بين الرغبة بجعل الإضافات قوية ومفيدة مع كونها آمنة افتراضياً لم يُحل بالكامل من قِبل أي منصة واحدة.
عادات عملية تُقلل المخاطر فعلياً
تثبيت الإضافات فقط من المتاجر الرسمية، بدلاً من تحميلها جانبياً من مصادر خارجية، يضمن على الأقل مستوى أساسياً من الفحص الآلي الذي تُجريه المتاجر الرسمية، حتى لو لم يكن ذلك الفحص شاملاً.
الحفاظ على عدد صغير من الإضافات المثبتة إجمالاً، وإزالة تلك التي لم تعد قيد الاستخدام الفعلي دورياً، يُقلص مباشرة إجمالي سطح الهجوم المتاح لأي إضافة واحدة مُخترَقة أو خبيثة.
الانتباه لملاحظات التحديث ومطالبات تغيير الصلاحيات، بدلاً من الموافقة عليها تلقائياً دون قراءتها، إحدى اللحظات القليلة التي يملك فيها المستخدم فرصة حقيقية لملاحظة تغيير ذي معنى قبل أن يصبح فعّالاً.
الإضافات على متصفحات الجوال
دعمت متصفحات سطح المكتب الإضافات لفترة أطول بكثير من متصفحات الجوال، ولم تدعمها معظم متصفحات الهاتف إطلاقاً لسنوات، ما حصر الخطر بمستخدمي سطح المكتب بينما نما تصفح الجوال ليهيمن على الاستخدام الإجمالي.
مع بدء متصفحات الجوال بإضافة دعم محدود للإضافات، بدأت نفس مقايضات الصلاحيات بالظهور على الهواتف، إلا أن الشاشة الأصغر وقوائم الإعدادات المبسطة على الجوال غالباً ما تجعل من الأصعب على المستخدم ملاحظة أو مراجعة ما تستطيع الإضافة الوصول إليه فعلياً.
ولأن أجهزة الجوال غالباً ما تبقى مسجلة الدخول لحسابات أكثر حساسية طوال اليوم، تطبيقات مصرفية يُوصَل إليها عبر علامة تبويب متصفح، بوابات صحية، بريد عمل، فإن إضافة خطرة تحصل على موطئ قدم في متصفح هاتف يمكن أن تُعرِّض مجموعة أوسع وأكثر نشاطاً باستمرار من الجلسات مما قد تفعله نفس الإضافة على سطح مكتب يُستخدَم متقطعاً فقط.
لماذا يقوّض إرهاق الصلاحيات نظام التحذير
تعرض متاجر الإضافات عموماً ملخص صلاحيات قبل التثبيت، لكن معظم المستخدمين تدربوا عبر سنوات من تثبيت البرمجيات وتحديثات التطبيقات على النقر بسرعة عبر شاشات الموافقة دون قراءتها بعناية، نمط يسميه الباحثون إرهاق الصلاحيات.
هذا مهم تحديداً للإضافات لأن مطالبة الصلاحيات غالباً ما تكون اللحظة الوحيدة التي يُعرَض فيها على المستخدم، بلغة واضحة، مقدار الوصول الذي يمنحه بالضبط؛ بمجرد مرور تلك اللحظة، نادراً ما يُعاد النظر في الوصول ما لم يحدث خطأ ظاهر.
جربت بعض المتصفحات لغة أوضح وأكثر تنبيهاً للصلاحيات الواسعة تحديداً، مثل ذكر صراحة أن إضافة تستطيع قراءة وتغيير كل البيانات على كل موقع يُزار، تحديداً لمواجهة الميل لتصفح نص الصلاحيات التقني بسرعة دون تمعن.
كيف تُشكِّل تصنيفات بحث المتجر التعرض للإضافات الخطرة
تُرتِّب متاجر الإضافات نتائج البحث باستخدام إشارات مثل عدد التثبيتات ومطابقة الكلمات المفتاحية والنشاط الحديث، ما يعني أن إضافة جديدة باسم جذاب وطفرة من التثبيتات، حتى لو كانت احتيالية أو مدفوعة بروبوتات، يمكن أن ترتفع بسرعة نحو أعلى نتائج البحث ذات الصلة.
هذا يخلق حافزاً لمرتكبي الأفعال الخبيثة لتضخيم التثبيتات المبكرة اصطناعياً، إذ يجلب ترتيب بحث بارز تثبيتات عضوية أكثر بكثير مما تبرره جودة الإضافة أو أمانها الفعلي، محوّلاً آلية الاكتشاف نفسها إلى سطح هجوم.
يُطبِّق مشغلو المتاجر إجراءات مضادة للاحتيال ضد المقاييس المُضخَّمة اصطناعياً، لكن سباق التسلح بين التلاعب بالترتيب والكشف عنه مستمر، ولم يكن الموضع الأول في البحث يوماً بديلاً موثوقاً عن التحقق من مصداقية الإضافة بشكل مستقل.
ماذا يحدث بعد إزالة إضافة من متجر
عندما يحدد مشغل متجر ويزيل إضافة خبيثة، عادة ما يوقف ذلك تثبيتات جديدة لكنه لا يُلغي تلقائياً تثبيت الإضافة من الأجهزة التي تعمل عليها بالفعل، ما يعني أن المستخدمين الحاليين غالباً ما يبقون معرَّضين حتى يتخذوا إجراءً بأنفسهم أو يدفع المتصفح إزالة إجبارية.
تحتفظ بعض المتصفحات بالقدرة على تعطيل إضافات معروفة بخبثها عن بُعد عبر كل التثبيتات كإجراء طارئ، لكن هذه القدرة محجوزة عموماً لأشد الحالات خطورة والمؤكدة بوضوح بدلاً من تطبيقها روتينياً.
هذا التأخر بين الكشف والإزالة الكاملة من الأجهزة المتأثرة سبب إضافي لأهمية المراجعة اليدوية الدورية للإضافات المُثبَّتة حتى للمستخدمين الحذرين، إذ لا يضمن الإنفاذ على مستوى المتجر وحده أن إضافة خطرة مُثبَّتة سابقاً قد أُزيلت فعلياً من متصفح معين.
لماذا تختلف الإضافات المجانية عن المدفوعة في الحوافز
تعتمد معظم الإضافات المجانية على مصدر دخل ما لتغطية تكلفة الصيانة، سواء كان ذلك إعلانات أو بيع بيانات مجهولة الهوية أو رعاية من شركة، وفهم مصدر ذلك الدخل يكشف غالباً حوافز المطور الفعلية بوضوح أكبر من قراءة سياسة الخصوصية وحدها.
الإضافات المدفوعة ليست آمنة تلقائياً بحكم كونها مدفوعة، لكن نموذج دخل واضح ومباشر عبر سعر شراء يُقلل حاجة المطور للاعتماد على مصادر دخل خفية أو مبهمة قد تتعارض مع مصلحة المستخدم.
يستحق المستخدمون الحذرون طرح سؤال بسيط قبل التثبيت: كيف تربح هذه الإضافة تحديداً؟ إذا لم تكن الإجابة واضحة من قائمة المتجر أو موقع المطور، فذلك بحد ذاته إشارة تستحق التوقف عندها قبل المتابعة.
دور مديري تكنولوجيا المعلومات في الحماية الجماعية
في المؤسسات الكبيرة، غالباً ما يُدير قسم تكنولوجيا المعلومات سياسة إضافات موحدة تُطبَّق تلقائياً على كل الأجهزة المرتبطة بالشركة، ما يُزيل عبء اتخاذ القرار الفردي عن كل موظف ويضمن معياراً أدنى ثابتاً للأمان عبر المؤسسة بأكملها.
هذه السياسات المركزية تسمح أيضاً برصد أسرع للمشكلات، إذ إن اكتشاف سلوك مريب على جهاز واحد يمكن أن يؤدي فوراً لتعميم الحظر أو التحذير على كل الأجهزة الأخرى الخاضعة لنفس السياسة، بدلاً من انتظار اكتشاف كل مستخدم للمشكلة بمفرده.
لكن هذا النموذج لا يتوفر لمعظم المستخدمين الأفراد خارج بيئة العمل، ما يعني أن الفجوة بين الحماية المؤسسية والحماية الشخصية تبقى قائمة، وتضع عبء اليقظة بالكامل على عاتق المستخدم العادي في حياته الرقمية اليومية خارج مكان العمل.
لماذا يبقى الوعي الفردي خط الدفاع الأخير
مهما تحسنت أدوات الفحص الآلي ونماذج الصلاحيات وسياسات المتاجر، تبقى هناك فجوة زمنية حتمية بين ظهور تهديد جديد وتطوير دفاع فعال ضده، وخلال تلك الفجوة يبقى وعي المستخدم الفردي هو الحاجز العملي الوحيد.
هذا لا يعني أن على كل مستخدم أن يصبح خبيراً تقنياً، بل أن يتبنى عادات بسيطة ومتكررة: التساؤل عن سبب حاجة إضافة لصلاحية معينة، ومراجعة القائمة المُثبَّتة دورياً، والانتباه لأي تغيّر غير مُفسَّر في سلوك المتصفح.
هذه العادات، رغم بساطتها الظاهرة، هي في الواقع ما يفصل بين مستخدم يكتشف مشكلة مبكراً بنفسه وآخر يعتمد بالكامل على أن يكتشفها شخص آخر أولاً، وهو فارق قد يحدد حجم الضرر الفعلي الذي تُسبِّبه إضافة تحوّلت خبيثة.
تحتل إضافات المتصفح موقعاً غير عادي في عالم البرمجيات: قطع صغيرة من الشيفرة يثبتها معظم الناس بشكل عرضي، لكنها قادرة على رؤية وتعديل كل ما يحدث تقريباً داخل المتصفح، من الجلسات المصرفية إلى الرسائل الخاصة. المقارنة بتطبيقات الجوال مفيدة تحديداً لأن متاجر التطبيقات، رغم كل عيوبها، تفرض عموماً صلاحيات أضيق وأكثر تفصيلاً ومراجعة أكثر اتساقاً مما طبقته معظم أسواق الإضافات تاريخياً. تُضيّق نماذج الصلاحيات الأحدث تلك الفجوة، ويتحسن صانعو المتصفحات في التقاط وإزالة الإضافات الخبيثة بعد وقوع الحدث، لكن مشكلة نقل الملكية تحديداً تعني أن إضافة آمنة اليوم غير مضمون بقاؤها آمنة غداً. التعامل مع الإضافات بنفس التدقيق المُخصَّص لتثبيت برمجيات جديدة على جهاز عمل، فحص الصلاحيات ومراجعة ما هو مُثبَّت بالفعل والانتباه عند تغيّر شيء ما، يبقى أكثر دفاع موثوق متاح للمستخدم الفرد.
المصادر
- Chrome for Developers — نظرة عامة على Manifest V3 — التوثيق الرسمي لنموذج صلاحيات الإضافات الأحدث والأكثر تقييداً.
- مؤسسة الحدود الإلكترونية — مدونة Deeplinks — منظمة حقوق رقمية تُغطي قضايا خصوصية وأمان إضافات المتصفح.
- موزيلا — نظرة عامة على إضافات فايرفوكس — توثيق مُصنِّع المتصفح حول صلاحيات الإضافات وسياسات المراجعة.
- وكالة الأمن السيبراني وأمن البنية التحتية (CISA) — وكالة حكومية أمريكية تنشر إرشادات حول أفضل ممارسات أمان المتصفح والبرمجيات.
الأسئلة الشائعة
هل إضافات المتصفح أخطر بطبيعتها من تطبيقات الجوال؟
ليس بطبيعتها، لكنها غالباً ما تعمل بموجب نماذج صلاحيات أوسع وأقل تفصيلاً وتلقت تاريخياً مراجعة متجرية أخف من تطبيقات الجوال، ما يزيد الخطر العملي.
هل يمكن أن تصبح إضافة آمنة غير آمنة دون أن أفعل شيئاً؟
نعم. إذا باع مطور الإضافة إياها لمالك جديد، يمكن لتحديث خلفي روتيني أن يغيّر سلوكها دون طلب أي موافقة صلاحيات جديدة من المستخدم.
هل يعني تقييم مرتفع وعدد تثبيت كبير أن الإضافة آمنة؟
ليس بالضرورة. تعكس التقييمات تجربة سابقة وقد تسبق تغيير ملكية أو شيفرة؛ المراجعات المزيفة وأعداد التثبيت المُضخَّمة مشكلة موثقة أيضاً.
كيف أُقلل خطري من إضافات أملكها بالفعل؟
راجع دورياً إضافاتك المُثبَّتة، أزل ما لم تعد تستخدمه، وتحقق مما إذا كانت المتصفحات التي تستخدمها تسمح بتقييد وصول إضافة لمواقع محددة بدلاً من كل الصفحات.
هل تحل نماذج الصلاحيات الأحدث هذه المشكلة؟
تساعد عبر طلب صلاحيات أكثر تفصيلاً وتحديداً، لكن الانتقال تدريجي، وخطر نقل الملكية الأساسي غير مُزال بالكامل بتغييرات نموذج الصلاحيات وحدها.
عن الكاتب
نعتمد على Chrome for Developers — نظرة عامة على Manifest V3، ومؤسسة الحدود الإلكترونية — مدونة Deeplinks، وموزيلا — نظرة عامة على إضافات فايرفوكس، ووكالة الأمن السيبراني وأمن البنية التحتية (CISA) لشرح خلفية وفهم هذا الموضوع.
هل أعجبك المقال؟
شارك عبر واتساب ← شارك عبر واتساب
احصل على المزيد من الأدلة في بريدك — اشترك في نشرتنا البريدية للحصول على قصص أسبوعية مثيرة للاهتمام من مصر والسعودية ودبي وأكثر.