Detectar cuándo han cambiado de dueño tus extensiones instaladas de Chrome
Una nueva extensión de Chrome que avisa a los usuarios cuando sus extensiones instaladas cambian de dueño está provocando un escrutinio más amplio del ecosistema de extensiones del navegador. Los comentaristas celebran las herramientas que hacen visibles los cambios de propiedad y de actualización, pero sostienen que esto debería venir integrado en los navegadores, con las actualizaciones automáticas en pausa o requiriendo re-aprobación tras una transferencia para evitar enshittification, seguimiento o malware. Otros subrayan los límites de estas herramientas: la propiedad puede transferirse vendiendo toda la cuenta, y el propio verificador depende de un servicio externo de promoción de extensiones, lo que pone de relieve cuánta confianza y riesgo de seguridad hay incrustados en los complementos modernos del navegador.
Propósito y comportamiento de la extensión
- La herramienta supervisa las extensiones de Chrome instaladas y avisa cuando cambia el desarrollador/propietario que aparece en la lista.
- Se autoverifica mediante
chrome.management.getAll()y ejecuta una comprobación automatizada aproximadamente una vez por hora. - No puede decirte de forma retrospectiva si hubo cambios de propiedad anteriores a la instalación.
- Varios comentaristas sostienen que esto debería ser una función nativa del navegador, idealmente deshabilitando o pausando una extensión cuando cambie de propietario y pidiéndoselo al usuario.
Eficacia y límites inherentes
- Preocupación: para cuando se detecta un cambio de propiedad, una actualización automática maliciosa podría ya haberse ejecutado.
- Según se informa, muchos secuestros reales ocurren mediante la venta de toda la cuenta de desarrollador o de las credenciales; eso no aparecería como un “cambio de propietario” en los metadatos de la tienda, así que la herramienta no puede ayudar en esos casos.
- También se señaló que un nuevo propietario malicioso podría actualizar este mismo vigilante, así que no se puede confiar en él como salvaguarda final (“¿quién vigila al vigilante?”).
Actualizaciones automáticas frente al control del usuario
- Un largo subhilo debate si las actualizaciones automáticas son, en conjunto, algo positivo.
- Argumentos a favor de las actualizaciones automáticas: los usuarios rara vez actualizan manualmente; se pierden correcciones de seguridad; las versiones antiguas acaban siendo carne de botnet.
- Argumentos en contra: los proveedores abusan de las actualizaciones para introducir spyware, anuncios o regresiones de funciones; los usuarios pierden el control sobre sus propias máquinas; algunos quieren un canal de actualización “solo de seguridad” y poder desactivar los cambios de funciones.
- Se cita el interruptor de actualización automática por extensión de Firefox y los avisos de cambio de permisos como un mejor compromiso.
Detalles técnicos y ambigüedad
- Debate sobre cómo el ID de una extensión de Chrome se deriva de un par de claves; confusión y desacuerdo sobre cómo funcionan realmente las claves privadas, los IDs y la firma de la tienda.
- Algunos señalan permisos complejos y amplios en torno al intercambio de mensajes y DevTools que obligan a mostrar avisos con tono alarmante incluso para usos benignos.
Privacidad y backend de ExBoost
- La extensión envía una lista de los IDs de las extensiones instaladas a una API externa (ExtensionBoost) para resolver los desarrolladores actuales, porque el scraping de la Web Store desde dentro de una extensión está restringido.
- Algunos ven esto como una concesión necesaria; otros se sienten incómodos con que cualquier tercero conozca su lista completa de extensiones y sospechan que podría usarse con fines de anuncios/analítica.
Preocupaciones más amplias del ecosistema y alternativas
- Múltiples anécdotas de extensiones populares que reciben ofertas de compra muy lucrativas, a menudo asumidas como paso previo a una mayor enshittification o a malware.
- Sugerencias: una política a nivel de navegador que exija una re-aprobación explícita cuando cambie la propiedad, ralentizar o retener las actualizaciones, o incluso “retirar” el nombre de una extensión durante un periodo tras la transferencia.
- Alternativas mencionadas: limitar o evitar por completo las extensiones, usar userscripts (con reservas), Pi-hole y bloqueadores integrados, o programas curados/revisados de extensiones (p. ej., la lista recomendada de Firefox).