BrowserGate: El inventario que nadie autorizó

El problema

Cada vez que abres ciertas páginas , tu navegador responde un interrogatorio que no ves. Linkedin es uno de estos sitios.

El caso BrowserGate (browsergate.eu) documentó que LinkedIn ejecuta en sus visitantes un script que comprueba, una a una, si tienen instalada alguna de más de 6.000 extensiones de Chrome. BleepingComputer verificó el comportamiento de forma independiente. La lista incluye gestores de contraseñas, bloqueadores, herramientas de productividad, de búsqueda de empleo y productos que compiten con los de la propia plataforma. Según el informe, el resultado se envía a sus servidores de telemetría junto con otras características del dispositivo.

La técnica es sencilla. Muchas extensiones exponen archivos públicos (los web_accessible_resources del estándar de extensiones de Chrome). Una página puede intentar cargar <id>/<archivo>: si la carga funciona, la extensión está instalada; si falla, no. Repetido miles de veces en segundo plano, se obtiene la lista de tus extensiones. Si abres las herramientas de desarrollo del navegador en LinkedIn, verás miles de peticiones a : cada una es una pregunta fallida.

¿Por qué importa?

• Tus extensiones dicen mucho de ti: tu oficio, tus herramientas de seguridad, si estás buscando trabajo o qué gestor de contraseñas usas.

• La combinación es casi única: sirve como huella digital para reconocerte aunque borres las cookies.

• Sucede sin aviso ni consentimiento, y la técnica no es exclusiva de LinkedIn: cualquier sitio puede aplicarla.

LinkedIn sostiene que lo hace para detectar herramientas de scraping y proteger su plataforma. Puede ser un objetivo legítimo, pero eso no justifica inventariar el software de todos sus visitantes.

La propuesta: BrowserGate Shield

BrowserGate Shield es una extensión libre para Chrome y navegadores basados en Chromium que impide que las webs averigüen qué extensiones tienes instaladas. Funciona en cualquier sitio, no solo en LinkedIn.

Cómo funciona

• Corta la técnica, no una lista. Intercepta todas las vías por las que una página puede sondear una extensión: fetch, XHR, imágenes, scripts, hojas de estilo, HTML dinámico, CSS, SVG e iframes, incluidas variantes ofuscadas. Cada sondeo recibe la misma respuesta que daría Chrome para una extensión no instalada.

• Bloquea también el escaneo pasivo. Oculta los rastros que las extensiones dejan en la página, como URLs en el DOM, en las hojas de estilo o en las métricas de rendimiento.

• Está diseñada para pasar desapercibida. Imita el comportamiento nativo del navegador, de modo que el sitio no pueda notar que hay un escudo activo, lo que en sí sería otra señal identificativa.

Tú decides cómo responder

• Negar todo (recomendado): la web cree que no tienes extensiones.

• Ruido: la web ve unas pocas extensiones falsas que cambian en cada sesión y en cada sitio, así que no puede reconocerte entre visitas.

Control y transparencia

• Pausa la protección o deja sitios en lista blanca, de forma temporal o permanente.

• Un panel muestra qué sitios intentaron detectar tus extensiones, cuántas veces y cuáles de las tuyas buscaban.

• No envía datos a ningún servidor: todo queda en tu navegador.

• Incluye un banco de pruebas automatizado y una herramienta que te dice cuáles de tus extensiones son detectables hoy.

Tiene límites conocidos y documentados, como la carga dinámica de módulos con import(), que no se puede interceptar desde una extensión. Por eso el proyecto es abierto.

Pruébala y súmate

El código está disponible en https://git.uid-disclose.com/uid-disclose/browsergate/

git clone https://git.uid-disclose.com/uid-disclose/browsergate.git

Para instalarla sin compilar nada:

1- Descarga el .zip de la carpeta dist/.
2- Descomprímelo y abre chrome://extensions.
3- Activa el "Modo de desarrollador" y pulsa "Cargar descomprimida".

Las instrucciones paso a paso están en dist/INSTALAR.md.

Nos encantaría tu ayuda. Algunas ideas por donde empezar:

• Nuevas técnicas de detección que el escudo aún no cubra, añadidas al banco de pruebas.

• Cobertura de Web Workers y otros límites documentados.

• Versión para Firefox.

• Pruebas en otros sitios que también enumeren extensiones: avísanos cuáles encuentras.

• Traducciones y mejoras de la interfaz.

Abre un issue o envía un merge request. Y si te parece útil, compártelo: es una práctica que se mantiene mientras nadie la ve.