Selainlaajennukset ja niiden oikeudet: mitä laajennus näkee

Useimmat ihmiset harkitsevat tarkkaan, minkä sovelluksen asentavat puhelimeensa, mutta lisäävät selaimeen laajennuksen parilla klikkauksella. Riskisuhde on kuitenkin usein toisin päin. Puhelinsovellus toimii käyttöjärjestelmän rajoittamassa hiekkalaatikossa, jossa jokainen pääsy kameraan tai sijaintiin kysytään erikseen. Laajennus asuu selaimen sisällä, ja selain on paikka, jossa hoidat pankkiasiat, luet sähköpostin ja kirjoitat salasanat.

Tämä ei tarkoita, että laajennukset olisivat huono asia. Sisällönestäjä, salasanaohjelman liitännäinen ja saavutettavuustyökalut ovat aitoja parannuksia. Kyse on siitä, että oikeuksien lukeminen on osa asennuspäätöstä, ja että laajennuksia kannattaa olla vähän eikä paljon.

Miksi laajennus on eri asia kuin sivusto tai sovellus

Verkkosivusto ajetaan selaimessa tiukassa eristyksessä. Sivu näkee vain oman sisältönsä eikä pääse käsiksi toisen välilehden sisältöön. Tämä eristys on koko verkon turvallisuusmallin perusta.

Laajennus asennetaan nimenomaan sen vuoksi, että se saa poikkeuksen tästä säännöstä. Laajennus voi lisätä sivulle koodia, joka ajetaan sivun omassa ympäristössä, ja tällä koodilla on pääsy sivun sisältöön: tekstiin, lomakekenttiin, kuviin ja siihen mitä kirjoitat. Riippuen myönnetyistä oikeuksista se voi tehdä sen yhdellä sivustolla tai kaikilla.

Toinen ero on päivitysmalli. Sivustoa ei asenneta, joten se ei jää laitteelle. Laajennus jää, ja se päivittää itsensä automaattisesti taustalla. Päivitys tulee samalta julkaisijalta, mutta julkaisija voi vaihtua.

Salaus ei suojaa laajennukselta

HTTPS suojaa liikenteen sinun ja palvelimen välillä, jotta kukaan matkan varrella ei näe sisältöä. Suojaus loppuu siihen, kun selain purkaa sisällön näytettäväksi. Laajennus toimii tämän jälkeen.

Käytännössä se tarkoittaa, että laaja oikeus antaa laajennukselle mahdollisuuden nähdä pankin tiliotteesi, sähköpostisi sisällön, terveystietosi ja kaiken mitä kirjoitat lomakkeisiin. Se voi myös muuttaa sivua: lisätä siihen elementtejä, vaihtaa linkkien kohteita tai näyttää oman lomakkeensa sivuston lomakkeen päällä. Juuri tämä tekee laajennuksesta myös houkuttelevan välineen tietojenkalasteluun, koska väärennetty kenttä on aidon sivuston sisällä eikä osoiterivillä näy mitään poikkeavaa.

Yksi seuraus jää usein huomaamatta. Jos annat laajennukselle luvan toimia myös yksityisissä ikkunoissa, se näkee myös sen selauksen, jonka luulit jäävän erilliseksi. Lupa on erikseen kysyttävä ja oletuksena pois päältä. Sen kanssa kannattaa olla nirso.

Näin luet oikeuspyynnön

Asennushetkellä selain näyttää listan oikeuksista. Teksti on lyhyttä ja kuulostaa tekniseltä, mutta se on tarkka. Alla yleisimmät muotoilut ja se, mitä ne oikeasti tarkoittavat.

Kaksi kysymystä ratkaisee useimmat tapaukset. Onko oikeus tarpeen sen tehtävän hoitamiseen, jota varten asennat laajennuksen? Ja jos ei ole, onko olemassa vastaava laajennus, joka pyytää vähemmän?

Salasanaohjelman liitännäinen on hyvä esimerkki perustellusta laajasta oikeudesta: sen pitää tunnistaa kirjautumislomake millä tahansa sivustolla täyttääkseen sen. Sen sijaan säätiedote, kuponkien etsijä tai teemapaketti ei tarvitse pääsyä kaikkeen sisältöön, ja jos se sitä pyytää, syy on jokin muu. Selaimeen tallennettujen tunnusten ja erillisen salasanaohjelman eroa käsitellään artikkelissa salasanat selaimen muistissa.

Osa selaimista antaa rajata laajan oikeuden jälkikäteen. Laajennuksen asetuksista löytyy usein valinta, jolla sivustopääsyn saa muutettua muotoon "vain napsautettaessa" tai "vain näillä sivustoilla". Tämä on aliarvostettu keino: laajennus toimii yhä, mutta vain silloin kun sitä käytät.

Automaattipäivitys ja omistajanvaihdos ovat yhdessä riski

Suurin osa haitallisista laajennuksista ei ole haitallisia asennushetkellä. Tyypillinen kulku on toinen. Joku rakentaa hyödyllisen laajennuksen, kerää käyttäjiä, kyllästyy ylläpitoon ja saa ostotarjouksen. Uusi omistaja perii käyttäjäkunnan, oikeudet ja automaattisen päivityskanavan. Seuraava päivitys asentuu hiljaa taustalla.

Käyttäjän kannalta mikään ei näytä muuttuneen. Kuvake on sama, nimi on sama, arvostelut ovat samoja ja ne on kirjoitettu vanhasta versiosta. Muutos voi olla hienovarainen: laajennus alkaa lisätä hakutuloksiin kumppanilinkkejä, kerätä selaushistoriaa "tuotekehitystä varten" tai ohjata verkkokauppojen linkit kumppaniverkoston kautta.

Tästä syntyy kolme käytännön ohjetta. Suosi laajennuksia, joilla on tunnistettava ylläpitäjä ja julkinen lähdekoodi, koska muutokset näkyvät silloin ulkopuolisille. Lue laajennuksen uusimmat arvostelut vanhojen sijaan, koska omistajanvaihdos näkyy niissä ensin. Ja poista laajennus, jonka toiminta muuttuu ilman selitystä, äläkä oleta että kyseessä on virhe.

Automaattista päivitystä ei kannata kytkeä pois, koska vanhentunut laajennus on oma riskinsä. Miksi päivityksiä ylipäätään kannattaa ottaa vastaan, on selitetty artikkelissa automaattiset päivitykset. Ratkaisu on karsinta, ei päivitysten välttely.

Mitä kauppojen tarkastus kattaa ja mitä ei

Selainvalmistajien laajennuskaupoissa on tarkastusprosessi. Se karsii ilmiselvät haittaohjelmat, tekijänoikeusrikkomukset ja säännöistä poikkeavat oikeuspyynnöt. Se on hyödyllinen ja se toimii siihen mihin se on tehty.

Sen rajat kannattaa silti tuntea. Tarkastus katsoo ohjelman koodia, mutta laajennus voi hakea toimintaohjeensa julkaisijan palvelimelta vasta asennuksen jälkeen. Se voi käyttäytyä eri tavalla ensimmäisinä viikkoina kuin myöhemmin. Ja arvostelut sekä asennusmäärät kertovat menneisyydestä eivätkä nykyisestä versiosta. Sama ongelma koskee sovelluskauppoja yleisemmin, ja sitä käsitellään artikkelissa sovelluskaupat ja sivulataus.

Selaimen ulkopuolelta, verkkosivun kautta asennettavat laajennukset ovat erikseen oma lukunsa. Selaimet vaikeuttavat tätä tarkoituksella. Jos sivusto kehottaa asentamaan laajennuksen sivun katsomiseksi, videon toistamiseksi tai jonkin virheen korjaamiseksi, kyseessä ei ole tekninen vaatimus vaan huijaus.

Näin karsit laajennukset kerralla kuntoon

Karsinta kannattaa tehdä kerran ja toistaa sitten pari kertaa vuodessa. Se vie noin kymmenen minuuttia.

1. Avaa selaimen laajennusten hallintasivu. Se löytyy valikosta kohdasta laajennukset tai lisäosat.
2. Käy lista läpi ja poista jokainen, jota et ole käyttänyt tietoisesti viimeisen kuukauden aikana. Poistaminen on turvallista, koska asentaminen uudelleen on helppoa.
3. Katso jäljelle jääneiden oikeudet. Selain näyttää ne laajennuksen tiedoissa.
4. Rajaa sivustopääsy siellä missä se on mahdollista: vaihda kaikkien sivustojen oikeus muotoon "vain napsautettaessa" tai listaa sallitut sivustot.
5. Tarkista, onko laajennuksella lupa toimia yksityisissä ikkunoissa. Poista lupa, ellei sille ole selvää syytä.
6. Tarkista lopuksi, tunnistatko jokaisen jäljellä olevan laajennuksen julkaisijan. Jos et, se on hyvä syy poistaa se.
7. Toista sama jokaisessa selaimessa ja jokaisessa profiilissa, jota käytät. Laajennukset seuraavat profiilia, eivät laitetta.

Nyrkkisääntö on, että käytössä on hyvä olla mieluummin kolme laajennusta kuin viisitoista. Jokainen niistä on erillinen luottamussuhde, jota joudut ylläpitämään.

Mitä kannattaa hoitaa laajennuksella ja mitä asetuksilla

Osa siitä, mihin ihmiset asentavat laajennuksen, hoituu selaimen omilla asetuksilla ilman uutta luottamussuhdetta. Selaimissa on nykyään sisäänrakennettu seurannanesto, salasanojen tallennus, lukunäkymä, sivujen kääntäminen ja välilehtien ryhmittely. Näihin ei tarvita erillistä laajennusta, ja asetus on aina turvallisempi kuin ulkopuolinen ohjelma. Mitkä valinnat oikeasti vaikuttavat, on käyty läpi artikkelissa selaimen yksityisyysasetukset.

Laajennus kannattaa asentaa silloin, kun selain ei tee asiaa lainkaan tai tekee sen selvästi huonommin. Tyypillinen perusteltu tapaus on sisällönestäjä, joka estää pyynnöt jo ennen latausta. Sen mekanismi ja rajat on selitetty artikkelissa mainosten ja seurannan esto. Sekin on kuitenkin laajennus, jolla on laaja oikeus, joten siihen pätee sama sääntö kuin muihin: yksi tunnettu toteutus, ei kolmea.

Käytännön karsintaperiaate on tämä. Jos laajennus tekee jotain, mitä käytät päivittäin, sen laaja oikeus on perusteltavissa. Jos se tekee jotain, mitä käytät kerran kuussa, rajaa sen sivustopääsy napsautuksen taakse. Ja jos et muista milloin viimeksi käytit sitä, poista se.

Jos epäilet laajennusta

Merkkejä on muutama tunnistettava. Hakutulokset näyttävät erilaisilta kuin ennen tai ohjautuvat välisivun kautta. Sivuille ilmestyy mainoksia paikkoihin, joissa niitä ei ennen ollut. Selaimen aloitussivu tai hakukone on vaihtunut ilman että vaihdoit sitä. Selain hidastuu selvästi eikä syy löydy välilehdistä. Näitä ilmiöitä käsitellään laajemmin artikkelissa mainosohjelmat ja selainkaappaus.

Toimi näin. Poista epäilyttävä laajennus ensin käytöstä ja katso, katoaako oire. Jos katoaa, poista laajennus kokonaan. Käy sen jälkeen läpi ne palvelut, joissa olet kirjautuneena, ja vaihda tärkeimpien salasanat, jos laajennuksella oli laaja oikeus pitkään. Katkaise samalla vanhat istunnot palveluiden turvallisuusasetuksista.

Yksi asia kannattaa tarkistaa erikseen. Selain synkronoi laajennukset laitteiden välillä, jos olet kirjautunut selaimeen samalla tilillä. Silloin sama laajennus on asentunut myös muille koneillesi ja puhelimeesi, ja poistaminen pitää tehdä kaikilta tai kerran synkronoidusta profiilista. Jos laajennus oli asennettuna työkoneella, kerro asiasta työpaikan tuelle, koska sama laajennus voi olla muillakin. Ja jos epäilet, että tunnukset ovat vuotaneet, etene artikkelin tili kaapattiin ohjeiden mukaan sen sijaan, että jäisit odottamaan näkyvää vahinkoa.

Perusasenne kannattaa pitää yksinkertaisena. Laajennus on ohjelma, jolle annat luvan lukea kaiken mitä teet verkossa. Se voi olla täysin sen arvoista, mutta valinta pitää tehdä tietoisesti eikä vahingossa.