La configuración es un poco compleja debido a algunos objetivos de diseño:

• Realizar análisis estático de manera efectiva contra extensiones de Chrome
• Escalar automáticamente hacia arriba con más instancias ante un aumento de carga y escalar hacia abajo.
• Trabajar con un presupuesto muy ajustado (de ahí el uso de ElasticBeanstalk con Instancias Spot).

Algunas notas rápidas para ayudar a alguien que intente configurarlo:

• tarnish hace uso de Python Celery para el análisis de extensiones.
• La configuración de Python Celery utiliza redis como intermediario (esto deberá crearse).
• Los trabajadores que procesan los trabajos de análisis de extensiones se ejecutan en instancias spot de AWS ElasticBeanstalk. Para los no familiarizados, las instancias spot son básicamente pujar por cómputo no utilizado. Esto permite que el servicio funcione de manera muy económica.
• Los trabajadores requieren al menos una instancia AWS t2.medium para operar.
• El frontend de tarnish es solo un conjunto de archivos estáticos que se suben a un bucket de S3 configurado como host web estático.

Consulta el archivo docker-compose.yaml.example para las configuraciones de variables de entorno. Idealmente ejecutarías ./start.sh y navegarías al frontend estático para ponerlo en marcha. Puedes usar S3 para el sitio estático o simplemente un servidor web estático simple como python -m SimpleHTTPServer (tendrás que modificar los archivos JavaScript para asegurar la coincidencia de orígenes, etc.).

Características

Obtiene cualquier extensión de Chrome a partir de un enlace proporcionado de la Chrome Web Store.

• Visor de manifest.json: simplemente muestra una versión JSON formateada del manifiesto de la extensión.
• Análisis de Huella Digital: Detección de web_accessible_resources y generación automática de JavaScript para fingerprinting de extensiones de Chrome.
• Análisis de Posible Clickjacking: Detección de páginas HTML de extensiones con la directiva web_accessible_resources configurada. Estas son potencialmente vulnerables a clickjacking dependiendo del propósito de las páginas.
• Visor de Advertencias de Permisos: que muestra una lista de todas las advertencias de solicitud de permisos de Chrome que se mostrarán al usuario al intentar instalar la extensión.
• Funciones Peligrosas: muestra la ubicación de funciones peligrosas que podrían ser explotadas por un atacante (por ejemplo, funciones como innerHTML, chrome.tabs.executeScript).
• Puntos de Entrada: muestra dónde la extensión recibe entrada de usuario/externa. Esto es útil para entender la superficie de ataque de una extensión y buscar posibles puntos para enviar datos maliciosamente diseñados a la extensión.
• Tanto el escáner de Funciones Peligrosas como el de Puntos de Entrada tienen lo siguiente para sus alertas generadas:
  • Fragmento de código relevante y línea que causó la alerta.
  • Descripción del problema.
  • Un botón "Ver Archivo" para ver el archivo fuente completo que contiene el código.
  • La ruta del archivo alertado.
  • La URI completa de la extensión de Chrome del archivo alertado.
  • El tipo de archivo, como un script de Página de Fondo, Script de Contenido, Acción del Navegador, etc.
  • Si la línea vulnerable está en un archivo JavaScript, las rutas de todas las páginas donde se incluye, así como el tipo de estas páginas y el estado de web_accessible_resource.
• Analizador de Política de Seguridad de Contenido (CSP) y verificador de elusión: Señalará debilidades en el CSP de tu extensión y también iluminará posibles formas de eludir el CSP debido a CDNs en lista blanca, etc.
• Bibliotecas Vulnerables Conocidas: Utiliza Retire.js para verificar el uso de bibliotecas JavaScript con vulnerabilidades conocidas.
• Descargar la extensión y versiones formateadas.
• Descargar la extensión original.
• Descargar una versión embellecida de la extensión (HTML y JavaScript automáticamente embellecidos).
• Almacenamiento en caché automático de los resultados del escaneo: ejecutar un escaneo de extensión llevará bastante tiempo la primera vez. Sin embargo, la segunda vez, asumiendo que la extensión no se haya actualizado, será casi instantánea debido a que los resultados están en caché.
• URLs de informe enlazables, enlace fácilmente a otra persona a un informe de extensión generado por tarnish.