Die Einrichtung ist aufgrund einiger Designziele etwas komplex:

• Effektive statische Analyse von Chrome-Erweiterungen durchführen
• Automatisch bei erhöhter Arbeitslast mit mehr Instanzen hochskalieren und wieder herunterskalieren.
• Mit einem schmalen Budget arbeiten (daher die Nutzung von ElasticBeanstalk mit Spot-Instanzen).

Einige kurze Hinweise, um jemandem bei der Einrichtung zu helfen:

• tarnish verwendet Python Celery zur Analyse von Erweiterungen.
• Die Python-Celery-Konfiguration verwendet redis als Broker (dieser muss erstellt werden).
• Die Worker, die die Analyseaufträge für Erweiterungen verarbeiten, laufen auf AWS ElasticBeanstalk Spot-Instanzen. Für diejenigen, die damit nicht vertraut sind: Spot-Instanzen sind im Grunde Gebote auf ungenutzte Rechenleistung. Dies ermöglicht einen extrem günstigen Betrieb des Dienstes.
• Die Worker benötigen zum Betrieb mindestens eine AWS t2.medium-Instanz.
• Das tarnish-Frontend besteht lediglich aus einer Reihe statischer Dateien, die in einen für statische Webhosting konfigurierten S3-Bucket hochgeladen werden.

Siehe die docker-compose.yaml.example für die Konfiguration der Umgebungsvariablen. Idealerweise führen Sie ./start.sh aus und navigieren zum statischen Frontend, um alles zum Laufen zu bringen. Sie können S3 für die statische Website oder einen einfachen statischen Webserver wie python -m SimpleHTTPServer verwenden (Sie müssen die JavaScript-Dateien anpassen, um sicherzustellen, dass der Ursprung übereinstimmt usw.).

Funktionen

Lädt jede Chrome-Erweiterung von einem bereitgestellten Chrome Webstore-Link herunter.

• manifest.json-Anzeige: zeigt einfach eine JSON-verschönerte Version des Manifests der Erweiterung an.
• Fingerabdruck-Analyse: Erkennung von web_accessible_resources und automatische Generierung von JavaScript zum Fingerprinting von Chrome-Erweiterungen.
• Potenzielle Clickjacking-Analyse: Erkennung von HTML-Seiten der Erweiterung, bei denen die web_accessible_resources-Direktive gesetzt ist. Diese sind je nach Zweck der Seiten potenziell anfällig für Clickjacking.
• Anzeige der Berechtigungswarnungen: zeigt eine Liste aller Berechtigungshinweise von Chrome, die angezeigt werden, wenn ein Benutzer versucht, die Erweiterung zu installieren.
• Gefährliche Funktionen: zeigt die Position gefährlicher Funktionen, die potenziell von einem Angreifer ausgenutzt werden könnten (z. B. Funktionen wie innerHTML, chrome.tabs.executeScript).
• Einstiegspunkte: zeigt, wo die Erweiterung Benutzer-/externe Eingaben entgegennimmt. Dies ist nützlich, um die Angriffsfläche einer Erweiterung zu verstehen und nach potenziellen Punkten zu suchen, an denen bösartig präparierte Daten an die Erweiterung gesendet werden können.
• Sowohl die Scanner für gefährliche Funktionen als auch für Einstiegspunkte enthalten Folgendes für ihre generierten Warnungen:
  • Relevantes Code-Snippet und Zeile, die die Warnung ausgelöst hat.
  • Beschreibung des Problems.
  • Eine Schaltfläche „Datei anzeigen“, um die vollständige Quelldatei mit dem Code anzuzeigen.
  • Der Pfad der Datei, die die Warnung ausgelöst hat.
  • Die vollständige Chrome-Erweiterungs-URI der Datei, die die Warnung ausgelöst hat.
  • Der Dateityp, z. B. Hintergrundseiten-Skript, Content Script, Browser Action usw.
  • Wenn die verwundbare Zeile in einer JavaScript-Datei steht, die Pfade aller Seiten, in denen sie eingebunden ist, sowie der Typ dieser Seiten und der web_accessible_resource-Status.
• Content Security Policy (CSP)-Analyzer und Bypass-Prüfer: Dieser zeigt Schwachstellen in der CSP Ihrer Erweiterung auf und beleuchtet auch mögliche Wege, Ihre CSP aufgrund von freigegebenen CDNs usw. zu umgehen.
• Bekannte verwundbare Bibliotheken: Verwendet Retire.js, um die Verwendung bekanntermaßen verwundbarer JavaScript-Bibliotheken zu prüfen.
• Erweiterung und formatierte Versionen herunterladen.
• Die Originalerweiterung herunterladen.
• Eine verschönerte Version der Erweiterung herunterladen (automatisch hübsch formatierte HTML- und JavaScript-Dateien).
• Automatisches Caching der Scanergebnisse: Das erste Ausführen eines Erweiterungsscans wird eine ganze Weile dauern. Beim zweiten Mal, vorausgesetzt die Erweiterung wurde nicht aktualisiert, wird es aufgrund der zwischengespeicherten Ergebnisse jedoch nahezu sofort gehen.
• Verlinkbare Bericht-URLs, mit denen Sie problemlos jemand anderen auf einen von tarnish generierten Erweiterungsbericht verweisen können.