Complemento Firefox recopila el historial de navegacion de los usuarios
Un popular complemento de Firefox registra secretamente el historial de navegación de los usuarios, de acuerdo con los informes del autor del bloqueador de anuncios uBlock Origin y Mike Kuketz, un blogger de privacidad y seguridad alemán
El add-on en cuestión se llama Web Security y actualmente está instalado por 222,746 usuarios de Firefox, según el portal oficial de complementos de Mozilla.
La descripción del complemento afirma que Web Security "lo protege activamente contra el malware, los sitios web alterados o los sitios de phishing que intentan robar sus datos personales".
Mozilla anteriormente recomendó el complemento en una publicación de blog
Su alto conteo de instalación y críticas positivas obtuvieron el complemento en una lista de complementos recomendados de seguridad y privacidad en el blog oficial de Firefox la semana pasada.
Pero este impulso de atención del equipo de Mozilla no disminuyó como se esperaba. Horas después de la publicación del blog de Mozilla, Raymond Hill, el autor del bloqueador de anuncios uBlock Origin, señaló en Reddit que el add-on exhibía un comportamiento extraño.
"Con esta extensión, veo que por cada página que carga en su navegador, hay un POST en http://136.243.163.73/", dijo Hill . "Los datos publicados son confusos, tal vez alguien tendrá tiempo de investigar más".
La advertencia de Hill pasó desapercibida durante unos días hasta ayer, cuando Kuketz, un popular blogger alemán, publicó un artículo sobre el mismo comportamiento.
Horas más tarde, un usuario en el foro de Kuketz logró decodificar los datos "ilegibles", revelando que el complemento secretamente enviaba la URL de las páginas visitadas a un servidor alemán.
Web Security capturado recopilando patrones de navegación de usuarios
En circunstancias normales, un complemento de Firefox que necesita analizar amenazas podría tener derecho a verificar las URL que escanea en un servidor remoto, pero de acuerdo con un formato de datos que el complemento estaba enviando al servidor remoto, Web Security parece estar registrando más que la URL actual.
id|35237841|id hash|1|hash app|web_security|app agent|FF|agent app_data|; oldUrl;|http://blog.fefe.de/;|oldUrl; ; newUrl;|https://www.kuketz-blog.de/;|newUrl; ; oldHost;|blog.fefe.de;|oldHost; ; newHost;|www.kuketz-blog.de;|newHost; ; hash;|67918192;|hash; ; language;|de;|language; |app_data
Los datos muestran que el complemento rastrea a los usuarios individuales mediante una ID, junto con su patrón de navegación, registrando cómo los usuarios pasaron de una "antiguaUrl" a una "nuevaUrl".
Este patrón de registro es un poco excesivo y va en contra de las directrices del portal de complementos de Mozilla que prohíben que los complementos inicien sesión en el historial de navegación de los usuarios.
Mozilla eliminó dos complementos similares, Stylish y Web of Trust, de su Add-ons Portal por un comportamiento similar en los últimos dos años.
Un portavoz de Creative Software Solutions ha proporcionado la siguiente declaración después de una consulta por correo electrónico de Bleeping Computer, con la promesa de investigar más el tema.
El addon Web Security es, como su nombre lo indica, un complemento de seguridad que protege al usuario de sitios web abusivos para proteger sus datos y su privacidad. No queremos que los sitios rastreen y roben los datos de los usuarios o el historial de navegación. Uno de los aspectos de seguridad incluye verificar el sitio solicitado contra una lista negra global, por lo que la comunicación entre el cliente y nuestros servidores es inevitable, mientras que la mantenemos al mínimo absoluto y no registramos esta comunicación. Nuestros servidores están todos en Alemania, por lo que también estamos obligados por GDPR y solo procesamos datos por las razones especificadas.
Nuestro complemento también ha sido procesado por el estricto personal de Verificación de Mozillas, que ha aprobado específicamente todas las comunicaciones que se producen. Todos los datos transferidos deben comunicarse de forma segura, sin embargo, dado que tomamos muy en serio estas preocupaciones de privacidad, ya he informado a los desarrolladores para que investiguen el problema, para verificar y mejorar si es posible.
Mientras tanto, Mozilla no ha eliminado el add-on de su Add-ons Portal, pero lo eliminaron de la publicación del blog publicada la semana pasada. Los ingenieros de Mozilla generalmente revisan los complementos con comportamiento sospechoso informado y los prohíben si es necesario. Este proceso generalmente lleva unos días, como fue el caso con Stylish.
Creative Software Solutions no ofrece una versión de Chrome de Web Security, que aún está en desarrollo.