KalderaСайт спрашивает, расширение проверяет
Контентный скрипт находит форму входа на текущей странице и спрашивает фоновый воркер. Воркер сверяет URL вкладки с записями, которые вправе предложить, — тот же eTLD+1 или явно сохранённое соответствие.
Продукт / Браузерное расширение
Заполнение паролей — самый рискованный момент. Мы спроектировали продукт именно под него.
Расширение KalderaShield — спутник на Manifest V3 для Chromium и Firefox. Оно заполняет учётные данные только на сайтах, которые может привязать к существующей записи, общается с настольным приложением по зашифрованному мосту через локальный интерфейс и ничего не собирает.
Что оно делает
Автозаполнение с контролем на входе
Расширение внедряет контентный скрипт в страницы HTTP/HTTPS и предлагает заполнить учётные данные для сайта, на котором вы находитесь. Сопоставление доменов проверяется вплоть до eTLD+1 — похожие домены в других регистрируемых доменах не получают учётные данные другого сайта, а защёлка фишингового оповещения продолжает предупреждать, как только обнаружено несовпадение.
У расширения нет широких полномочий над страницами: манифест запрашивает nativeMessaging, activeTab и storage, CSP страниц расширения — script-src 'self', а сборка для Firefox объявляет data_collection_permissions: none. В пакете нет ни SDK аналитики, ни телеметрии.
Диалог сопряжения на стороне настольного приложения должен быть принят, прежде чем мост заработает вообще; учётные данные передаются мосту в аренду на пять минут за раз и обнуляются по истечении срока, а действие отзыва стирает аренду и немедленно заменяет токен сопряжения.
Как происходит заполнение
Решает настольное приложение
Запрос уходит по мосту обмена сообщениями с настольным приложением, которое возвращает только учётные данные, привязанные к этому сайту, — широкие запросы получают обезличенные метаданные с пустыми паролями.
Заполнение привязано к вкладке
Заполнение контролируется проверкой URL вкладки на обратном пути. Расширение никогда не принимает запросы на заполнение напрямую от веб-страниц: страницы вообще не могут достучаться до канала расширения.
Архитектура безопасности
Manifest V3
127.0.0.1
Firefox 142+
Чего расширение не делает
Пределы, записанные письменно
Расширение не хранит хранилище: это окно в настольное приложение, и без работающего сопряжённого десктопа ему нечего выдать. Оно ничего не синхронизирует ни с каким сервером, не читает страницы, на которых вы его не активировали, а вредоносное ПО с вашими привилегиями ОС могло бы добраться до файла токена сопряжения — остаточный риск, задокументированный в модели угроз, а не отрицаемый.
Минимальные разрешения
nativeMessaging, activeTab, storage. Никакого широкого доступа к хостам, никаких скриптов из удалённых источников, CSP заблокирован на 'self'.
Мост только для локальных соединений
Обмен с настольным приложением идёт только через локальный TCP-интерфейс (127.0.0.1); каждый кадр шифруется XChaCha20-Poly1305 под сеансовым ключом, выведенным через HKDF.
Подписано для релизного Firefox
Сборка для Firefox поставляется как подписанный Mozilla XPI (AMO), поэтому устанавливается на постоянной основе в Release и Beta; сборка для Chromium загружается в распакованном виде или через политику вашей организации.
Часто задаваемые вопросы
Вопросы о расширении
Может ли расширение работать без настольного приложения?
Нет, по проекту. Оно не хранит копию хранилища, поэтому украденный ноутбук с установленным расширением всё равно не содержит ничего. Всё, что оно может предложить, приходит живьём от сопряжённого настольного сеанса, заблокированного или разблокированного.
Что мешает поддельному сайту получить мои учётные данные?
Проверка домена на уровне eTLD+1, защёлка фишингового оповещения и привязка предложений заполнения к проверенным URL вкладок. Другой регистрируемый домен — другой сайт, как бы он ни выглядел.
Видит ли расширение, что я печатаю на каждой странице?
Нет. Контентный скрипт активен на страницах HTTP/HTTPS, но реагирует только на формы входа и на ваши явные запросы через всплывающее окно или клавиатуру. Никакой регистрации нажатий клавиш нет.