Selainlaajennukset: mitä ne tekevät ja mitä ne näkevät

Laajennus tuntuu käyttäjästä selaimen asetukselta. Asennus vie kaksi klikkausta, kuvake ilmestyy osoiterivin viereen ja mikään ei näytä muuttuneen. Tekninen todellisuus on toinen: koneelle asennettiin ohjelma, joka saa selaimelta oikeuden nähdä ja muuttaa sivuja, joilla käyt.

Tästä ei seuraa, että laajennukset olisivat vaarallisia. Osa niistä on selaimen hyödyllisimpiä osia, ja moni käyttäjä ei palaisi ilman salasanaohjelman laajennusta tai mainostenestäjää. Seuraus on se, että laajennus ansaitsee saman harkinnan kuin mikä tahansa asennettava ohjelma, ei vähempää.

Tässä artikkelissa käsitellään laajennuksen tekninen asema, oikeuspyyntöjen lukeminen, vaikutus sivuihin ja nopeuteen sekä ne kaksi ongelmaa, jotka syntyvät vasta ajan mittaan: omistajanvaihdokset ja laajennusten keskinäiset ristiriidat. Selainten valinta on käsitelty erikseen artikkelissa selainten eroista, ja seurannan estäminen yksityisyyden näkökulmasta artikkelissa mainosten ja seurannan estosta.

Laajennus ajetaan selaimen sisällä, ei sen vieressä

Kun avaat sivun, selain hakee palvelimelta koodin, purkaa salauksen ja rakentaa siitä sivun. Laajennus pääsee käsiksi tähän valmiiseen sivuun. Se voi lukea tekstin, muuttaa sitä, lisätä omia painikkeitaan, piilottaa elementtejä ja lähettää havaitsemansa eteenpäin, jos sillä on siihen oikeus.

Tämä on syytä ymmärtää yhdessä salauksen kanssa. HTTPS suojaa liikennettä matkalla palvelimen ja selaimen välillä. Se ei suojaa siltä, mitä selaimen sisällä tapahtuu sen jälkeen. Laajennus on salauksen sisäpuolella samalla tavalla kuin sinä olet, ja näkee saman sisällön kuin sinä.

Laajennus ei murra salausta. Se ei tarvitse sitä, koska se on jo sisäpuolella.

Käytännössä laajennus koostuu kahdesta osasta. Taustaosa pyörii selaimessa omana prosessinaan. Sivulle ajettava osa eli sisältöskripti lisätään avaamiisi sivuihin ja toimii niiden yhteydessä. Juuri sisältöskripti tekee laajennuksesta hyödyllisen ja samalla riskin: se on koodia, joka ajetaan sen sivun kanssa, jossa käsittelet omia asioitasi.

Näin luet oikeuspyynnön asennuksen yhteydessä

Selain näyttää asennettaessa listan oikeuksista, joita laajennus pyytää. Lista näyttää tekniseltä ja se ohitetaan usein, mutta se on paras saatavilla oleva tieto siitä, mitä laajennus voi tehdä.

Selain ei pysty arvioimaan, käyttääkö laajennus oikeuksiaan hyvään vai huonoon. Se voi vain kertoa, mitä oikeuksia on pyydetty, ja valvoa ettei niiden ulkopuolelle mennä. Arvion tekee käyttäjä, ja siihen tarvitaan vain yksi kysymys: tarvitseeko tämä toiminto oikeasti tätä oikeutta.

Sääntö on yksinkertainen: oikeuden pitää selittyä laajennuksen tehtävästä. Sanakirjalaajennus, joka pyytää oikeuden lukea kaikkien sivujen sisältöä, on epäsuhtainen. Mainostenestäjä, joka pyytää samaa, ei ole, koska se ei voi tehdä työtään ilman.

Osa selaimista antaa myös kaventaa oikeuksia jälkikäteen. Laajennuksen asetuksista voi joissakin selaimissa valita, että se toimii vain klikattaessa tai vain nimetyillä sivustoilla. Tämä on käyttökelpoinen keino silloin, kun tarvitset laajennusta vain yhdellä sivustolla. Sama ajatus toistuu puhelimen puolella siinä, miten sovellusten käyttöoikeuksia rajataan tapauskohtaisesti.

Mitä laajennus tekee sivun sisällölle

Laajennuksen tehtävä on muuttaa sivua, joten sivun rikkoutuminen on odotettavissa oleva sivuvaikutus. Yleisimmät oireet ovat tuttuja: painike ei toimi, video ei käynnisty, lomaketta ei voi lähettää tai sivu jää lataamaan loputtomiin.

Vianetsintä on tässä poikkeuksellisen helppoa, koska laajennukset voi sulkea pois yksi kerrallaan.

1. Avaa sivu yksityisessä ikkunassa. Useimmissa selaimissa laajennukset ovat siellä oletuksena pois päältä. Jos sivu toimii, syy on lähes varmasti laajennuksessa.
2. Poista laajennukset käytöstä kaikki kerralla ja tarkista, että sivu toimii.
3. Ota ne takaisin käyttöön yksi kerrallaan ja lataa sivu uudelleen jokaisen jälkeen.
4. Kun oire palaa, olet löytänyt syyn. Katso, voitko rajata laajennuksen pois juuri siltä sivustolta sen sijaan että poistat sen kokonaan.

Toinen vaikutus on nopeus ja muistinkulutus. Jokainen laajennus vie muistia ja tekee työtä jokaisella avatulla sivulla. Yhden tai kahden laajennuksen vaikutus on tavallisella koneella pieni, mutta parinkymmenen laajennuksen kokoelma näkyy erityisesti vanhassa laitteessa ja monen välilehden käytössä. Jos kone tuntuu jumittavan vain selaimessa, laajennuslista on ensimmäinen paikka katsoa, ennen kuin etsii syytä siitä miksi tietokone hidastuu laajemmin.

Laajennukset vaikuttavat myös tunnistettavuuteen. Osa laajennuksista muuttaa sivua tavalla, jonka sivusto voi havaita, jolloin harvinainen laajennusyhdistelmä on yksi osa selaimen sormenjälkeä. Tämä on sivuseikka verrattuna siihen, mitä laajennus itse näkee, mutta se kannattaa tietää: seurannan estoon tarkoitettu laajennus voi tehdä selaimesta erottuvamman.

Mitä laajennus lähettää eteenpäin

Oikeus lukea sivujen sisältöä ei vielä kerro, mitä laajennus sisällöllä tekee. Osa laajennuksista käsittelee kaiken paikallisesti laitteella. Osa lähettää tietoa tekijän palvelimelle, esimerkiksi käyntitilastoja, virheraportteja tai luetteloa avatuista osoitteista. Kolmas ryhmä on niitä, joiden koko liiketoiminta perustuu selaustietojen keräämiseen ja myymiseen, vaikka laajennuksen näkyvä toiminto olisi jokin aivan muu.

Käyttäjä ei näe tätä eroa laajennuksesta itsestään. Ainoat saatavilla olevat vihjeet ovat laajennuskaupan tietosuojaseloste, kaupan oma ilmoitus siitä mitä tietoja laajennus kerää, sekä tekijän tunnettuus. Jos laajennuksella ei ole tunnistettavaa tekijää eikä selostetta, oletus kannattaa olla varovainen.

Kerätty selaushistoria on myös tietovuodon kohteena poikkeuksellisen ikävä aineisto. Siitä näkyy, missä palveluissa asioit, milloin ja kuinka usein, ja usein myös osoitteiden sisältämiä yksilöiviä tunnisteita. Tämä on syy pitää laajennuslista lyhyenä silloinkin, kun jokainen listalla oleva laajennus on itsessään rehellinen.

Omistajanvaihdos on riski jo asennetussa laajennuksessa

Laajennusten tavallisin ongelma ei ole se, että asentaisi haitallisen laajennuksen. Se on se, että asentaa hyvän laajennuksen ja pitää sen vuosia.

Laajennukset päivittyvät automaattisesti taustalla. Se on turvallisuuden kannalta oikein, koska korjaukset tulevat nopeasti. Samalla se tarkoittaa, että laajennuksen sisältö voi vaihtua ilman että käyttäjä huomaa mitään. Jos laajennuksen tekijä myy sen eteenpäin tai luovuttaa ylläpidon toiselle, uusi omistaja perii valmiin käyttäjäkunnan ja jo myönnetyt oikeudet.

Tästä syntyy tyypillinen kulku: suosittu ja hyödyllinen laajennus vaihtaa omistajaa, seuraava päivitys lisää siihen mainosten syöttöä, hakutulosten muokkausta tai selaustietojen keräämistä, ja käyttäjä ihmettelee mistä muutos tuli. Sama mekanismi selittää monet tapaukset, joissa hakukone vaihtuu itsestään tai sivuille ilmestyy ylimääräisiä mainoksia ilman että koneelle on asennettu mitään uutta.

Pahimmassa tapauksessa muuttunut laajennus voi lisätä sivulle valheellisen kirjautumislomakkeen tai muokata maksutietoja. Silloin kyse on käytännössä kalastelusta, joka tapahtuu oikean sivuston sisällä eikä väärennetyssä osoitteessa. Osoiterivi näyttää tällöin oikealta, koska osoite on oikea, ja tavallinen tarkistuskeino ei auta.

Suoraa suojaa ei ole muuta kuin lyhyt asennuslista ja säännöllinen karsinta. Kannattaa myös suhtautua varauksella laajennukseen, joka ilmestyy koneelle ilman että muistaa asentaneensa sitä, sekä laajennukseen, joka lupaa kupongit, alennukset tai nopeamman netin.

Päällekkäisyys ja ristiriidat

Kaksi laajennusta, jotka tekevät samaa asiaa, eivät tee sitä kahta kertaa paremmin. Ne tekevät sitä kaksi kertaa, ja tulos voi olla huonompi kuin kummallakaan yksin.

Yleisimmät päällekkäisyydet ovat mainostenestäjät, salasanojen tallennus ja evästebannereiden käsittely. Kaksi estäjää voi rikkoa sivun, jonka kumpikin niistä yksin osaisi näyttää oikein. Kaksi salasanaohjelmaa taas kilpailee lomakkeiden täytöstä, jolloin väärä tunnus menee väärään kenttään. Jos käytät selaimen omaa salasanamuistia ja erillistä ohjelmaa rinnakkain, kannattaa lukea erikseen milloin selaimen salasanamuisti riittää ja valita niistä toinen.

Päällekkäisyys ei aina näy virheenä. Usein se näkyy vain siinä, että jokin toimii välillä ja välillä ei, koska kaksi laajennusta käsittelee saman sivun eri järjestyksessä eri kerroilla. Tällaista oiretta on turha jäljittää sivustosta, koska syy on omalla koneella.

Toinen ristiriitatyyppi syntyy laajennuksen ja sivuston välillä. Sivustot muuttuvat jatkuvasti, ja laajennus, jota ei ole päivitetty pitkään aikaan, alkaa jossain vaiheessa rikkoa sivuja. Päivittämättömyys on muutenkin varoitusmerkki: ylläpitämätön laajennus ei saa myöskään turvallisuuskorjauksia, ja se on juuri sellainen, joka usein myydään eteenpäin.

Karsintarutiini, joka vie viisi minuuttia

Tee tämä pari kertaa vuodessa ja aina kun selain alkaa käyttäytyä oudosti.

1. Avaa selaimen laajennuslista asetuksista. Katso koko lista kerralla, ei vain kuvakepalkkia, koska osa laajennuksista ei näytä kuvaketta.
2. Poista kaikki, joita et ole käyttänyt tähän kuukauteen. Poistaminen on nopeaa ja uudelleenasennus vielä nopeampaa, jos huomaat tarvitsevasi sitä.
3. Tarkista jokaisen jäljelle jäävän oikeudet ja kysy, selittyvätkö ne laajennuksen tehtävästä.
4. Kavenna oikeudet siellä missä se on mahdollista, esimerkiksi vain klikattaessa tai vain nimetyillä sivustoilla.
5. Katso tekijä ja viimeisin päivitys laajennuskaupassa. Pitkä hiljaisuus tai vaihtunut tekijä on syy harkita uudelleen.
6. Tarkista, että jäljellä olevissa ei ole kahta samaa tehtävää tekevää. Valitse toinen ja poista toinen.
7. Käy sama läpi jokaisessa selainprofiilissa erikseen. Laajennukset ovat profiilikohtaisia, joten työprofiilissa voi olla oma unohtunut listansa.

Jos jokin näistä kohdista tuntuu vaikealta päättää, kysymys kannattaa kääntää toisin päin. Antaisitko tämän tekijän lukea kaikki sivut, joilla käyt tällä viikolla. Jos et, laajennus ei kuulu selaimeesi, vaikka se olisi kuinka kätevä.