Tarayıcı Eklentileri Güvenlik Riski Oluşturur mu?

Tarayıcı eklentileri (browser extensions), yetki aşımları ve zararlı kod enjeksiyonları nedeniyle ciddi bilgi güvenliği zafiyetlerine ve veri sızıntılarına yol açabilir.

Kurumsal ortamlarda verimlilik artırıcı araçlar, parola yöneticileri, dil bilgisi denetleyicileri veya geliştirici araçları olarak yaygın biçimde tercih edilen tarayıcı eklentileri, kurumların saldırı yüzeyini genişleten kritik bir tehdit vektörüdür. Tarayıcı Eklentileri Güvenlik Riski Oluşturur mu? sorusunun teknik cevabı; eklentilerin Document Object Model (DOM) hiyerarşisine, oturum çerezlerine, ağ trafiğine ve yerel depolama alanlarına doğrudan erişebilme kapasitesinde gizlidir. Bu rehber; bilgi güvenliği yöneticileri, sistem mühendisleri ve işletme karar vericileri için eklenti mimarisinin barındırdığı zafiyetleri, gölge BT (Shadow IT) risklerini, Manifest V3 standartlarının güvenlik etkilerini ve kurumsal ağları bu tehditlerden koruma yöntemlerini ayrıntılı olarak ele almaktadır.

Tarayıcı Eklentileri Neden Ciddi Bir Bilgi Güvenliği Zafiyeti Yaratır?

Web tarayıcıları, modern kurumsal dünyada işletim sisteminin işlevini büyük ölçüde üstlenen birer çalışma platformudur. Kurum çalışanları; kurumsal kaynak planlama (ERP), müşteri ilişkileri yönetimi (CRM), bulut e-posta ve dahili iletişim yazılımlarına doğrudan web tarayıcıları üzerinden erişir. Tarayıcı eklentileri ise bu çalışma alanının içerisine entegre olan, tarayıcının güvenlik sınırlarını (sandboxing) belirli izinler dahilinde aşabilen üçüncü taraf yazılımlardır. Bir eklenti tarayıcıya kurulduğunda, kullanıcının ziyaret ettiği web sitelerinin kaynak kodlarını değiştirme, girilen tuş vuruşlarını (keystroke) yakalama ve ağ üzerinden giden/gelen paketleri manipüle etme potansiyeline kavuşur.

Geleneksel bağımsız masaüstü yazılımları uç nokta güvenlik çözümleri (EDR/XDR) tarafından dosya sistemi ve işlem (process) seviyesinde yakından izlenirken, tarayıcı eklentileri doğrudan güvenilir tarayıcı işlemi (örneğin chrome.exe veya msedge.exe) altında çalışır. Bu durum, EDR yazılımlarının eklenti tarafından gerçekleştirilen zararlı faaliyetleri meşru web trafiğinden ayırt etmesini güçleştirir. Eklentinin arka planda çalışan komut dosyaları (background scripts), istemci ile sunucu arasındaki güvenli TLS/SSL tünelinin şifresi tarayıcı tarafından çözüldükten sonra veriye eriştiği için, uçtan uca şifreleme mekanizmaları dahi eklenti düzeyindeki dinlemelere karşı yetersiz kalır.

İzin İhlalleri ve Yetki Aşımı (Privilege Escalation)

Tarayıcı eklentileri kurulurken kullanıcıdan belirli yetkiler talep eder. En yaygın ve en tehlikeli izin talebi, "Ziyaret ettiğiniz tüm web sitelerindeki verileri okuma ve değiştirme" (@@CODE0@@ veya @@CODE1@@) iznidir. Birçok kullanıcı bu iznin pratik yansımalarını değerlendirmeden kuruluma onay verir. Bu geniş kapsamlı izin, eklentinin oturum açılmış bankacılık sayfalarındaki bakiye bilgilerini, kurumsal portallardaki çalışan listelerini veya e-ticaret sitelerindeki ödeme formu alanlarını doğrudan okuyabilmesi anlamına gelir.

Yetki aşımı zafiyetleri, eklentinin başlangıçta sınırlı bir amaç için talep ettiği yetkileri kötüye kullanması veya tarayıcının yerel API'lerindeki (örneğin yerel dosya sistemine veya işletim sistemi komut satırına erişim sağlayan Native Messaging API) açıklar üzerinden yetki yükseltmesi ile gerçekleşir. Kötü amaçlı bir eklenti, görünürde basit bir metin dönüştürücü görevi üstlenirken, arka planda web sayfalarındaki @@CODE0@@ etiketlerinin @@CODE1@@ değerlerini toplayarak yetkisiz veri aktarımı gerçekleştirebilir.

Zararlı Kod Enjeksiyonu (Malicious Code Injection) ile Veri Hırsızlığı

Zararlı kod enjeksiyonu, eklentinin çalıştığı web sayfasının DOM ağacına dinamik olarak zararlı JavaScript parçacıkları enjekte etmesi sürecidir. Eklenti içerik betikleri (content scripts), sayfanın meşru JavaScript ortamından kısmen izole edilmiş olsa da, aynı DOM yapısını paylaşır. Bu paylaşım, eklentinin sayfadaki herhangi bir HTML elemanını değiştirmesine veya gizlice dinlemesine olanak tanır.

Bu yöntemin en yaygın uygulaması form yakalama (form grabbing) ve klavye dinleme (keylogger) mekanizmalarıdır. Kullanıcı bir web formuna parola, kredi kartı numarası veya kurumsal API anahtarı girdiğinde; eklenti bu girdiyi EventListener aracılığıyla yakalar ve saldırganın kontrolündeki uzak bir komuta kontrol (C2) sunucusuna HTTPS POST isteği olarak iletir. Bu trafik, tarayıcının standart HTTPS trafiği arasına gizlendiği için geleneksel kurumsal güvenlik duvarları (Firewall) tarafından engellenemez.

Geliştirici Hesaplarının Ele Geçirilmesi ve Tedarik Zinciri İstismarları

Tarayıcı eklentileri ekosistemindeki en sinsi saldırı vektörlerinden biri yazılım tedarik zinciri (software supply chain) saldırılarıdır. Yıllarca güvenilir şekilde hizmet vermiş, yüz binlerce aktif kullanıcıya ve yüksek mağaza puanına sahip popüler bir eklenti bir gecede zararlı yazılıma dönüşebilir. Bu durum iki temel senaryoda gerçekleşir:

• Kimlik Bilgisi Hırsızlığı ve Hesap Ele Geçirme: Geliştiricinin mağaza geliştirici hesabı (Chrome Web Store, Edge Add-ons veya Firefox Add-ons) oltalama (phishing) veya parola sızıntısı yoluyla ele geçirilir. Saldırganlar, mevcut eklentinin kaynak koduna zararlı kod parçacıkları ekleyerek yeni bir sürüm yayınlar. Tarayıcılar yüklü eklentileri otomatik olarak güncellediği için, zararlı sürüm tüm kullanıcılara sessizce dağıtılır.

• Eklenti Mülkiyetinin Satın Alınması: Saldırgan paravan şirketler, popüler eklentilerin geliştiricilerine cazip satın alma teklifleri sunarak projenin mülkiyetini devralır. Devir işleminden sonraki ilk veya ikinci güncellemede eklentiye gizli telemetri ve reklam/veri enjeksiyonu modülleri eklenir.

Kurumlar İçin Eklenti Kaynaklı Başlıca Güvenlik Riskleri

Kurumsal bilgi güvenliği mimarisinde en büyük açıklar, genellikle merkezi denetim mekanizmalarının dışında kalan alanlarda oluşur. Çalışanların iş süreçlerini hızlandırmak veya kişisel kolaylık sağlamak amacıyla kurumsal dizüstü bilgisayarlara yüklediği eklentiler, güvenlik ekiplerinin görüş alanının dışında kalarak gölge BT (Shadow IT) katmanını besler. Bu kontrolsüz genişleme, işletmeleri hem operasyonel hem de yasal yaptırımlar açısından ağır sonuçlarla karşı karşıya bırakır.

Kurumsal verilerin korunması sadece şirket içi gizlilik açısından değil; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) gibi yasal düzenlemeler kapsamında da zorunluluktur. Yetkisiz bir eklentinin müşteri kayıtlarını veya kimlik bilgilerini üçüncü taraf sunuculara sızdırması, kurum aleyhine yüksek meblağlı idari para cezaları ve telafisi zor itibar kayıpları doğurur.

+----------------------------------------------------------------------------------------------------+
|                               KURUMSAL EKLENTİ TEHDİT MATRİSİ                                      |
+--------------------------+-------------------------------------+-----------------------------------+
| Risk Türü                | Teknik Bulaşma Yöntemi              | Kurumsal ve Operasyonel Etkisi   |
+--------------------------+-------------------------------------+-----------------------------------+
| Veri Sızıntısı           | DOM Dinleme ve Form Okuma           | KVKK/GDPR Cezaları, Fikri Mülkiyet |
|                          |                                     | Kaybı, Müşteri Verilerinin İhlali |
+--------------------------+-------------------------------------+-----------------------------------+
| Kimlik Doğrulama Hırsızlığı| Çerez (Cookie) ve Token Çalma     | Kurumsal SSO ve Bulut Sistemlerine|
|                          |                                     | Yetkisiz Erişim, Hesap Ele Geçirme|
+--------------------------+-------------------------------------+-----------------------------------+
| Gölge BT (Shadow IT)     | Kullanıcı İnisiyatifiyle Kurulum    | Güvenlik Ekiplerinin Görüş Alanı  |
|                          |                                     | Dışında Kalan Zafiyet Havuzu      |
+--------------------------+-------------------------------------+-----------------------------------+
| Trafik Manipülasyonu     | Proxy Değişimi ve URL Yönlendirme   | Oltalama Saldırıları, Sahte Giriş |
|                          |                                     | Sayfalarına Gizli Yönlendirmeler  |
+--------------------------+-------------------------------------+-----------------------------------+

Hassas Veri Sızıntıları (Data Leaks) ve Şifre İhlalleri

Eklenti kaynaklı veri sızıntıları doğrudan kullanıcı etkileşimi anında gerçekleşir. Çalışanların bulut tabanlı yazılımlara (SaaS) girdiği müşteri adları, telefon numaraları, finansal tablolar ve özel teklifler; metin düzenleme, ekran görüntüsü alma veya çeviri eklentileri tarafından işlenme bahanesiyle harici sunuculara iletilebilir. Birçok ücretsiz eklentinin kullanım sözleşmesinde (Terms of Service), toplanan anonimleştirilmemiş kullanıcı verilerinin "hizmet geliştirme ve iş ortaklarıyla paylaşım" amacıyla üçüncü taraflara aktarılabileceğine dair muğlak maddeler yer alır.

Parola ve oturum ihlalleri tarafında ise durum daha kritiktir. Eklentiler, tarayıcının cookies API'sine erişim yetkisine sahipse, aktif oturumlara ait kimlik doğrulama belirteçlerini (Session Tokens, JWTs) ve çerezleri doğrudan kopyalayabilir. Bu yöntemle elde edilen çerezler, saldırganların Çok Faktörlü Kimlik Doğrulamayı (MFA/2FA) tamamen atlayarak kurumsal hesaplara doğrudan giriş yapmasına (Session Hijacking) olanak tanır.

Gölge BT (Shadow IT) Kaynaklı Denetim Eksiklikleri

Gölge BT, bilgi teknolojileri departmanının onayı ve bilgisi olmadan kurum içerisinde kullanılan yazılım ve servisleri ifade eder. Tarayıcı eklentileri, kurulum için yerel yönetici (Local Admin) yetkisi gerektirmediği için gölge BT'nin en yaygın türevidir. Standart yetkilere sahip bir kullanıcı, işletim sistemine yeni bir @@CODE0@@ veya @@CODE1@@ dosyası yükleyemezken, tarayıcı mağazasından tek bir tıklamayla güçlü yetkilere sahip bir eklentiyi tarayıcısına ekleyebilir.

Bu durum, güvenlik operasyon merkezlerinin (SOC) varlık envanterinde kör noktalar oluşturur. Hangi çalışanın hangi eklentiyi kullandığı, bu eklentilerin hangi harici IP adresleriyle haberleştiği ve hangi izinlere sahip olduğu merkezi olarak izlenmediğinde; olası bir siber olay müdahale (Incident Response) sürecinde ihlalin kök nedenini tespit etmek son derece zorlaşır.

Oltalama (Phishing) ve Tarayıcı Trafiğinin Yönlendirilmesi

Kötü niyetli eklentiler, web sayfalarının içeriğini anlık olarak manipüle edebilme yeteneklerini gelişmiş oltalama saldırıları için kullanır. Kullanıcı meşru bir kurumsal oturum açma sayfasına (örneğin Microsoft 365 veya Google Workspace giriş paneli) eriştiğinde, eklenti sayfanın üzerine birebir aynı görünen sahte bir giriş formu yerleştirebilir. Kullanıcı adres çubuğunda meşru alan adını ve geçerli SSL sertifikasını görse dahi, girdiği kimlik bilgileri arka planda saldırganın sunucusuna aktarılır.

Ayrıca @@CODE0@@ veya @@CODE1@@ API'lerini kötüye kullanan eklentiler, kullanıcının arama sonuçlarını değiştirebilir, kurumsal bağlantıları sahte yönlendirme (URL redirection) mekanizmalarıyla zararlı sitelere yönlendirebilir veya sayfalara sahte güvenlik uyarıları enjekte ederek kullanıcıları sahte destek hatlarını aramaya zorlayabilir.

Zararlı ve Riskli Tarayıcı Eklentilerini Tespit Etme Yöntemleri

Bir tarayıcı eklentisinin risk profilini belirlemek, yalnızca resmi mağaza puanına veya kullanıcı yorumlarına bakarak mümkün değildir. Siber saldırganlar bot hesaplar aracılığıyla sahte olumlu yorumlar üretebilir veya zararlı aktiviteleri belirli bir süre boyunca gizleyerek (zaman gecikmeli tetikleme) güvenlik incelemelerini atlatabilir. Bu nedenle hem son kullanıcılar hem de IT güvenlik uzmanları için teknik analiz yöntemlerinin devreye alınması şarttır.

Eklenti güvenliği değerlendirilirken statik kod analizi, dinamik davranış analizi ve ağ trafiği izleme teknikleri bir arada kullanılmalıdır. Açık kaynaklı eklentilerde kaynak kodun GitHub gibi platformlarda incelenebilir olması bir avantaj sağlasa da, mağazada dağıtılan derlenmiş paketin bu açık kaynak kodla birebir eşleştiğini doğrulamak için CRX paket açma yöntemlerine başvurulmalıdır.

Şüpheli Ağ Hareketleri ve Aşırı Yetki Taleplerinin İncelenmesi

Bir eklentinin güvenlik değerlendirmesindeki ilk adım, talep ettiği izinler ile sunduğu işlev arasındaki orantıyı sorgulamaktır. Basit bir hesap makinesi, saat veya renk seçici eklentisinin tüm web sitelerindeki verilere erişim (@@CODE0@@), yer imlerini okuma (@@CODE1@@) veya web isteklerini engelleme (webRequestBlocking) izni istemesi açık bir kırmızı bayraktır (red flag).

Ağ trafiği analizi tarafında ise tarayıcının geliştirici araçları (Developer Tools - F12) açılarak "Ağ" (Network) sekmesi incelenmelidir. Eklentinin arka plan sayfası (Background Page) incelendiğinde; tanınmayan, şüpheli veya dinamik DNS (DDNS) servislerine yönelik periyodik veri gönderimleri (heartbeat istekleri veya şifrelenmiş veri paketleri) tespit ediliyorsa eklentinin zararlı telemetri faaliyeti yürüttüğü değerlendirilmelidir.

ZARARLI EKLENTİ ANALİZ ADIMLARI:
[Adım 1: CRX İndirme] -> [Adım 2: Manifest.json İnceleme] -> [Adım 3: Content Script Analizi] -> [Adım 4: Ağ Trafiği Denetimi]
         |                              |                                  |                              |
Paket doğrudan mağazadan       İzinler (permissions) ve          DOM manipülasyonu ve              Harici IP bağlantıları ve
arşiv olarak çekilir.          erişim alanları taranır.          dinamik kod çalıştırma aranır.    POST istekleri incelenir.

Performans Anomalileri ve Beklenmedik Tarayıcı Davranışları

Zararlı veya kötü kodlanmış eklentiler tarayıcı kaynaklarını aşırı tüketir. CPU ve bellek kullanımındaki ani artışlar, sayfaların geç yüklenmesi veya tarayıcının kilitlenmesi gibi durumlar, eklentinin arka planda yoğun işlemler yürüttüğünün göstergesi olabilir. Bazı zararlı eklentiler, kullanıcının işlemci gücünü kullanarak kripto para madenciliği (cryptojacking) yapmak üzere tasarlanmıştır.

Ayrıca web gezintisi sırasında meşru sitelerde normalde bulunmayan pop-up reklamların belirmesi, arama motoru sorgularının bilinmeyen arama motorlarına yönlendirilmesi (search hijacking) ve tarayıcı başlangıç sayfasının kullanıcı iradesi dışında değişmesi, sistemde yetkisiz bir eklentinin aktif olduğunu doğrudan kanıtlar.

Kurumsal Güvenlik Araçları ile Eklenti Analizi

Kurumsal ortamlarda her kullanıcının tarayıcısını tek tek manuel olarak incelemek sürdürülebilir değildir. IT ve SOC ekipleri, uç nokta yönetim çözümleri (Endpoint Management) ve EDR yazılımları üzerinden kurulu tüm eklentilerin listesini ve sürüm numaralarını merkezi olarak çekmelidir.

Güvenlik ekipleri, şüpheli eklentilerin kaynak kodlarını barındıran @@CODE0@@ arşivlerini açarak @@CODE1@@ dosyasını ve JavaScript dosyalarını statik kod analiz araçlarından (SAST) geçirmelidir. Kod tabanında @@CODE2@@, @@CODE3@@, @@CODE4@@ gibi dinamik kod yürütme fonksiyonlarının yoğun kullanımı veya @@CODE5@@ ile karartılmış (obfuscated) dizgilerin bulunması, eklentinin güvenlik incelemelerinden gizlenmeye çalıştığına işaret eder.

Kurumsal Ağları Tarayıcı Eklentilerinden Korumak İçin Alınması Gereken Önlemler

Kurumsal bilgi güvenliğini eklenti kaynaklı tehditlere karşı korumak, çalışanların kişisel inisiyatifine bırakılamaz. Güvenlik mimarisi "varsayılan olarak engelle" (default-deny) yaklaşımını benimsemeli ve eklenti yükleme süreçleri katı kurallara bağlanmalıdır. Sistem yöneticileri, işletim sistemi ve tarayıcı seviyesindeki yönetim şablonlarını kullanarak tam merkezi kontrol sağlamalıdır.

Bu koruma stratejisi; politika yönetimi, teknik denetim araçları ve insan faktörünü kapsayan çok katmanlı bir savunma (defense-in-depth) modeli üzerine inşa edilmelidir. Yalnızca tarayıcı ayarlarını kilitlemek yeterli değildir; ağ geçidi seviyesinde veri sızıntısı önleme (DLP) ve DNS filtreleme mekanizmalarıyla ek savunma hatları oluşturulmalıdır.

Merkezi Tarayıcı Politikalarının (Group Policy ve MDM) Uygulanması

Google Chrome, Microsoft Edge ve Mozilla Firefox kurumsal yönetim için zengin Active Directory Grup İlkeleri (GPO) ve Mobil Cihaz Yönetimi (MDM / Intune) şablonları sunar. Kurumsal sistemlerde uygulanması gereken en temel politika, rastgele eklenti kurulumunun tamamen yasaklanmasıdır.

• ExtensionInstallBlocklist: * değeri verilerek kullanıcıların mağazadan herhangi bir eklenti yüklemesi tamamen engellenmelidir.

• ExtensionInstallAllowlist: Yalnızca IT ve Bilgi Güvenliği departmanı tarafından güvenlik denetiminden geçmiş, iş süreçleri için zorunlu olan spesifik eklenti kimlikleri (Extension IDs) beyaz listeye eklenmelidir.

• ExtensionInstallForcelist: Kurumsal parola yöneticisi veya DLP ajanları gibi zorunlu eklentiler kullanıcı müdahalesine gerek kalmadan arka planda otomatik olarak yüklenmeli ve kullanıcının bu eklentileri kaldırması veya devre dışı bırakması engellenmelidir.

• ExtensionSettings: Belirli eklentilerin sadece belirli kurumsal web sitelerinde çalışmasına izin verilmeli, hassas finansal veya yönetimsel alt alan adlarında (subdomains) eklenti çalışması devre dışı bırakılmalıdır.

Uç Nokta Güvenliği (Endpoint Security) ve Web Filtreleme

Uç nokta güvenliği katmanında EDR/XDR ajanları, tarayıcı eklentilerinin yerel diskte oluşturduğu dizinleri (@@CODE0@@ vb.) dosya bütünlüğü izleme (FIM) kurallarıyla takip etmelidir. Bu dizinlere yetkisiz bir süreç tarafından dosya yazılması veya @@CODE1@@ dosyalarının değiştirilmesi durumunda anında güvenlik uyarısı üretilmelidir.

Ağ seviyesinde ise Güvenli Web Ağ Geçitleri (Secure Web Gateway - SWG) ve Yeni Nesil Güvenlik Duvarları (NGFW), eklenti mağazalarından gelen @@CODE0@@ ve @@CODE1@@ uzantılı dosya indirmelerini denetlemelidir. Ayrıca eklentilerin veri sızdırmak için kullandığı bilinen kötü amaçlı C2 sunucularına ait IP ve alan adı listeleri DNS ve Proxy seviyesinde engellenmelidir.

Personel Güvenlik Farkındalığı ve Yetki İnceleme Süreçleri

Teknik kısıtlamaların yanı sıra kurum içi siber güvenlik kültürü geliştirilmelidir. Çalışanlara yönelik düzenli farkındalık eğitimlerinde, tarayıcı eklentilerinin arka planda tam olarak hangi verilere erişebildiği somut örneklerle gösterilmelidir.

Kurum içerisinde yeni bir eklentiye ihtiyaç duyan çalışanlar için resmi bir "Eklenti Talep ve Onay Süreci" işletilmelidir. Güvenlik ekibi, talep edilen eklentiyi üretici güvenilirliği, veri işleme sözleşmesi (DPA), kaynak kod yapısı ve alternatif açık kaynaklı araçlar açısından değerlendirerek onay vermelidir.

Manifest V3 Geçişi ve Eklenti Güvenliği Mimarisi

Chromium tabanlı tarayıcılarda (Google Chrome, Microsoft Edge, Brave, Opera) eklenti geliştirme standartlarını kökten değiştiren Manifest V3 (MV3) mimarisi, tarayıcı güvenliği ve kullanıcı gizliliğini artırma amacıyla geliştirilmiştir. Eski Manifest V2 (MV2) mimarisi, eklentilere ağ trafiğini keyfi olarak engelleme, değiştirme ve harici sunuculardan dinamik JavaScript kodları çekerek çalıştırma gibi son derece geniş ve denetlemesi zor yetkiler tanımaktaydı.

Manifest V3 ile birlikte gelen yapısal kısıtlamalar, eklentilerin kötü amaçlı yazılımlara dönüştürülmesini zorlaştırmayı ve güvenlik denetim mekanizmalarını otomatikleştirmeyi hedefler. Ancak bu geçiş, eklenti kaynaklı tüm riskleri sıfırlamaz; yalnızca saldırı vektörlerinin biçimini değiştirir.

Bildirime Dayalı Ağ İstekleri (Declarative Net Request) ve Gizlilik

Manifest V2 mimarisinde yer alan webRequest API'si, bir eklentinin kullanıcının yaptığı her ağ isteğini (URL, başlıklar, çerezler ve gövde verileri dahil) doğrudan okumasına ve isteği sunucuya gitmeden önce durdurarak değiştirmesine izin veriyordu. Bu durum, reklam engelleyiciler için mükemmel bir esneklik sağlarken; kötü niyetli eklentilerin tüm web trafiğini şifresiz olarak dinlemesine ve değiştirmesine zemin hazırlıyordu.

Manifest V3 ile @@CODE0@@ yerine getirilen @@CODE1@@ API'si, eklentinin ağ isteklerini doğrudan okumasını engeller. Bunun yerine eklenti, tarayıcıya uygulanmasını istediği kural listesini (engellenecek veya yönlendirilecek URL kalıpları) bildirir; kuralları tarayıcının kendi çekirdeği çalıştırır. Böylece eklenti, kullanıcının hangi URL'lere eriştiği bilgisini doğrudan elde edemez ve veri gizliliği korunur.

Arka Plan Betiklerinden Hizmet Çalışanlarına (Service Workers) Geçiş

Eski mimaride eklentilerin arka plan sayfaları (background pages) tarayıcı açık olduğu sürece sürekli olarak bellekte çalışır durumda kalıyordu. Bu durum hem yüksek bellek tüketimine yol açıyor hem de eklentinin arka planda kesintisiz olarak zararlı faaliyetler yürütmesine imkan veriyordu.

Manifest V3, kalıcı arka plan sayfalarını kaldırarak yerlerine olay güdümlü (event-driven) Hizmet Çalışanlarını (Service Workers) getirmiştir. Hizmet çalışanı yalnızca belirli bir olay (tarayıcı sekmesinin açılması, bir düğmeye tıklanması) gerçekleştiğinde belleğe yüklenir, görevini tamamladıktan sonra sonlandırılır. Bu izolasyon, eklentilerin sistem kaynaklarını sürekli işgal etmesini ve arka planda kalıcı dinleyiciler barındırmasını sınırlar.

Uzaktan Yürütülen Kod (Remote Hosted Code) Yasakları ve Sınırları

Manifest V3'ün getirdiği en kritik güvenlik kazanımı, harici sunuculardan çekilerek dinamik olarak çalıştırılan kodların (remotely hosted code) kesin olarak yasaklanmasıdır. Manifest V2 altında çalışan bir eklenti, mağaza onayından geçtikten sonra harici bir sunucudan eval() fonksiyonu ile yeni JavaScript dosyaları yükleyebiliyor ve mağaza denetimlerini tamamen devre dışı bırakabiliyordu.

Manifest V3 altında bir eklentinin çalıştıracağı tüm kodların, eklenti mağazaya yüklenirken .crx paketinin içinde yer alması zorunludur. Bu kural sayesinde:

1. Mağaza güvenlik tarayıcıları eklentinin çalıştıracağı tüm kodu statik olarak inceleyebilir.

2. Geliştiriciler onay sonrasında eklentiye sunucu tarafından dinamik olarak zararlı kod enjekte edemez.

3. Güvenlik açıklarının ve arka kapıların tespit edilme olasılığı artar.

Proaktif Tarayıcı Güvenliği Stratejisi ve Risk Azaltma Yol Haritası

Kurumsal güvenlik liderleri, tarayıcıyı yalnızca basit bir uygulama olarak değil, işletim sisteminin kritik bir uzantısı olarak konumlandırmalıdır. Reaktif güvenlik yaklaşımları (yalnızca bir ihlal gerçekleştikten sonra eklentiyi kaldırmak) modern tehdit aktörlerine karşı yetersizdir. İşletmelerin proaktif, sürekli denetlenen ve Sıfır Güven (Zero Trust) felsefesine dayalı bir tarayıcı güvenlik stratejisi kurgulaması zorunludur.

Modern kurumsal tarayıcı güvenliği; Uzak Tarayıcı İzolasyonu (Remote Browser Isolation - RBI), Kurumsal Tarayıcılar (Enterprise Browsers) ve gelişmiş Tarayıcı Güvenlik Uzantıları (Enterprise Browser Extensions) gibi yeni nesil teknolojilerin geleneksel uç nokta politikalarıyla entegre edilmesini gerektirir.

Sıfır Güven (Zero Trust) İlkesinin Tarayıcı Katmanına Genişletilmesi

Sıfır Güven yaklaşımının temel kuralı "asla güvenme, her zaman doğrula" ilkesidir. Bu ilke tarayıcı eklentilerine uygulandığında; resmi mağazada bulunan, milyonlarca kez indirilmiş bir eklenti dahi potansiyel olarak güvenilmez kabul edilir.

• Bağlam Tabanlı Erişim (Context-Aware Access): Hassas kurumsal verilere ve yönetim panellerine erişim, yalnızca eklentisiz veya sadece sıkı şekilde onaylanmış eklentilerin çalıştığı izole tarayıcı oturumları üzerinden sağlanmalıdır.

• Uzak Tarayıcı İzolasyonu (RBI): Yüksek riskli web gezintileri ve harici bağlantılar, kullanıcının yerel cihazı yerine buluttaki tek kullanımlık konteynerler (containers) üzerinde çalıştırılmalı ve kullanıcıya yalnızca pikseller aktarılmalıdır. Böylece yerel eklentilerin hassas sayfalara erişimi veya zararlı eklentilerin yerel cihaza sızması engellenir.

Kurumsal Beyaz Liste (Allowlist) ve Kara Liste (Blocklist) Yönetimi

Eklenti yönetimi tek seferlik bir işlem değil, yaşayan bir süreçtir. IT departmanları, onaylanan her eklentiyi periyodik olarak yeniden değerlendirmeye tabi tutmalıdır.

KVKK ve GDPR Uyumluluğu Kapsamında Üçüncü Taraf Eklenti Denetimleri

Veri koruma mevzuatları, veri sorumlularının (işletmelerin) işledikleri kişisel verilerin güvenliğini sağlamak için gerekli her türlü teknik ve idari tedbiri almasını zorunlu kılar. Bir çalışanın tarayıcısına kurduğu çeviri veya yazım denetimi eklentisi nedeniyle müşteri kimlik verilerinin yurt dışındaki kontrolsüz sunuculara aktarılması, doğrudan mevzuat ihlali oluşturur.

Kurumlar, veri işleme envanterlerine tarayıcı eklentileri aracılığıyla işlenen veya aktarılan veri kategorilerini de dahil etmelidir. Üçüncü taraf eklenti sağlayıcısıyla Veri İşleme Sözleşmesi (Data Processing Agreement - DPA) imzalanamıyorsa veya eklentinin verileri nerede depoladığı şeffaf şekilde doğrulanamıyorsa, o eklentinin kurumsal ağlarda kullanımı kesinlikle yasaklanmalıdır.