Zbadaliśmy żądania sieciowe 12 rozszerzeń do zrzutów ekranu
Krótka odpowiedź
Spośród dwunastu rozszerzeń do zrzutów ekranu pięć domyślnie przesyłało zrzuty na serwer, trzy robiły to tylko dla funkcji „chmurowych”, a cztery przetwarzały wszystko lokalnie. Uprawnienia rzadko odpowiadały zachowaniu. Jeśli narzędzie do zrzutów żąda szerokiego dostępu do hostów i łączy się z serwerem, traktuj swoje zrzuty jak udostępnione.
Dlaczego narzędzia do zrzutów zasługują na dokładną kontrolę
Zrzut może zawierać wszystko, co jest na ekranie — tokeny, prywatne wiadomości, niewydaną pracę. Rozszerzenie, które domyślnie przesyła dane, to droga wycieku danych, której większość użytkowników nigdy nie zauważa.
Co zmierzyliśmy
Dla każdego rozszerzenia zrobiliśmy jeden pełnostronicowy zrzut na stronie testowej i zarejestrowaliśmy wychodzące żądania. Porównaliśmy zaobserwowane zachowanie z zadeklarowanymi uprawnieniami.
| Zachowanie | Liczba |
|---|---|
| Przesyła zrzuty domyślnie | 5 / 12 |
| Przesyła tylko dla funkcji chmurowych | 3 / 12 |
| W pełni lokalne | 4 / 12 |
Wniosek
Uprawnienia to pułap, a nie opis. Wybieraj narzędzia, które deklarują wyłącznie lokalne przetwarzanie i popierają to audytem, który możesz odtworzyć.
Metodologia. Metoda: każde rozszerzenie na świeżym profilu, jeden zrzut na kontrolowanej stronie, żądania rejestrowane przez mitmproxy. Nazwy wstrzymane do czasu ujawnienia; pełny zbiór danych na życzenie. Zebrano 2026-06-05.