Microsoft telah memperkenalkan versi terbaru dari “Publikasikan API untuk pengembang ekstensi Edge” yang meningkatkan keamanan untuk akun pengembang dan pembaruan ekstensi browser.
Saat pertama kali menerbitkan ekstensi browser Microsoft Edge baru, pengembang diharuskan mengirimkannya melalui Pusat Mitra. Setelah disetujui, pembaruan selanjutnya dapat dilakukan melalui Pusat Mitra atau Publikasikan API.
Sebagai bagian dari Inisiatif Masa Depan Aman Microsoftperusahaan meningkatkan keamanan di seluruh grup produknya, termasuk proses penerbitan ekstensi browser untuk mencegah ekstensi dibajak dengan kode berbahaya.
Dengan Publish API yang baru, rahasia kini menjadi kunci API yang dihasilkan secara dinamis untuk setiap pengembang, sehingga mengurangi risiko kredensial statis terekspos dalam kode atau pelanggaran lainnya.
Kunci API ini sekarang akan disimpan dalam database Microsoft sebagai hash, bukan sebagai kunci itu sendiri, sehingga mencegah kemungkinan kebocoran kunci API.
Untuk lebih meningkatkan keamanan, URL token akses dibuat secara internal dan tidak perlu dikirim oleh pengembang saat memperbarui ekstensinya. Hal ini semakin meningkatkan keamanan dengan membatasi risiko tambahan berupa mengekspos URL yang dapat digunakan untuk mendorong pembaruan ekstensi berbahaya.
Terakhir, Publish API baru akan kedaluwarsa kunci API setiap 72 hari, dibandingkan dua tahun sebelumnya. Memutar rahasia lebih sering mencegah penyalahgunaan terus-menerus jika suatu rahasia terungkap.
Pengembang Edge dapat mencoba pengalaman pengelolaan kunci API baru di dasbor Pusat Mitra mereka.
Sumber: Microsoft
Pengembang kemudian perlu membuat ulang ClientId dan rahasia mereka serta mengonfigurasi ulang pipeline CI/CD yang ada.
Pengembang perangkat lunak adalah umumnya menjadi sasaran di dalam serangan phishing Dan malware pencuri informasi kampanye untuk mencuri kredensial.
Kredensial ini kemudian digunakan untuk mencuri kode sumber atau untuk menyusupi proyek sah dalam serangan rantai pasokan.
Meskipun Microsoft saat ini membuat proses baru ini “ikut serta” untuk meminimalkan gangguan perpindahan ke Publish API yang baru, tidak mengherankan jika Publish API yang diperbarui menjadi wajib di masa mendatang.
“Untuk meminimalkan gangguan dalam perpindahan ke Publish API yang baru, kami telah menjadikan ini sebagai pengalaman opt-in. Hal ini memungkinkan Anda untuk bertransisi ke pengalaman baru sesuai keinginan Anda,” simpulnya. pengumuman Microsoft.
“Jika diperlukan, Anda juga dapat memilih untuk tidak ikut serta dan kembali ke pengalaman sebelumnya, meskipun kami mendorong semua orang untuk beralih ke pengalaman baru yang lebih aman sesegera mungkin.”
“Peningkatan keamanan yang hadir dengan Publish API baru akan membantu melindungi ekstensi Anda dan meningkatkan keamanan proses penerbitan.”
