LinkedIn 秘密掃描 6,000 個瀏覽器擴充套件

🔑 增強重點摘要

• •此技術利用了瀏覽器擴充套件的資源載入機制，透過嘗試存取特定擴充套件的 Web Accessible Resources (WAR) 來判斷其是否安裝，這是一種常見的瀏覽器指紋識別（Fingerprinting）變體。
• •資安研究人員指出，LinkedIn 此舉主要目的是為了進行反詐欺（Anti-fraud）與機器人偵測，透過建立高精確度的裝置指紋，以識別惡意自動化行為。
• •此事件引發了關於隱私權與瀏覽器安全模型的廣泛討論，特別是關於瀏覽器廠商（如 Google）是否應限制擴充套件清單的存取權限，以防止此類隱私洩漏。

🛠️ 技術深入

• •該機制透過 JavaScript 的 fetch() 或 Image 物件，對常見擴充套件的特定檔案路徑（如 chrome-extension://[extension_id]/manifest.json）發起非同步請求。
• •根據請求的成功與否（HTTP 狀態碼），系統能精確判斷特定擴充套件是否安裝在使用者瀏覽器中。
• •收集的 48 項特徵包含但不限於：螢幕解析度、時區、字體列表、Canvas 渲染指紋、WebGL 參數以及作業系統版本。
• •指紋資料在傳輸前經過雜湊處理（Hashing）與加密，並作為 HTTP Header 或 Payload 的一部分附加在所有發往 LinkedIn 後端的 API 請求中，以確保會話的一致性。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線