インストール済みの Chrome 拡張機能の所有者変更を検知する

 (github.com/classvsoftware)
2 ポイント 投稿者 GN⁺ 2024-03-07 | 1件のコメント | WhatsAppで共有

新しい管理者のもとで

  • Chrome ウェブストアに掲載されている開発者情報が変更されたかどうかを確認する機能を持つ拡張機能。
  • インストール済みの拡張機能の所有権変更を断続的に確認。
  • 変更があった場合、拡張機能アイコンに赤いバッジを表示してユーザーに通知。
  • Matt Frisbie が作成。
  • Hacker News の議論で取り上げられた。

なぜ必要なのか？

  • 拡張機能の開発者には、自分の拡張機能を買いたいという提案が継続的に届く。
  • 多くの場合、そのような買い手は既存ユーザーをだまそうとしている。
  • 拡張機能が変更されたことにユーザーが気づかないまま、侵害される可能性がある。
  • 新しい管理者のもとで は、所有権変更の通知をユーザーに提供し、利用中のソフトウェアについて情報に基づいた判断ができるようにする。

インストール方法

  • ここからインストール: （Chrome ウェブストアの承認待ち）
  • または事前ビルド済みリリースをダウンロードし、.zip ファイルを展開して dist ディレクトリを Chrome に読み込む。

ソースからビルドする

  • 新しい管理者のもとで は、Parcel、React、Typescript、TailwindCSS を使用。
  • yarn install で依存関係をインストール。
  • yarn start でローカル実行。
  • yarn build でリリースビルド。

なぜ外部サーバーが必要なのか？

  • ブラウザには、拡張機能マーケットプレイスのドメインを変更することに関する特別なルールがある。
  • たとえば、chromewebstore.google.com に対して declarative_net_request ルールを設定できない。
  • そのため、この拡張機能は開発者情報の確認を ExBoost API サーバーに委任している。

GN⁺ の意見

  • この拡張機能は、ユーザーが自分のプライバシーやデータを保護するのに役立つ重要なツールである。拡張機能の所有権が変更された際にユーザーへ通知することで、所有権変更に伴う潜在的なセキュリティリスクに対応できるようにする。
  • 拡張機能の所有権変更はユーザーに対して透明に公開されるべきであり、このような変化を検知するツールはユーザーの信頼を維持するうえで重要な役割を果たす。
  • この技術や類似の機能を提供する他のオープンソースプロジェクトとしては、EFF の Privacy Badger や DuckDuckGo の Privacy Essentials などがある。これらはユーザーのオンラインプライバシー保護に焦点を当てている。
  • この拡張機能を導入する際の検討事項としては、実際に所有権変更を正確に検知できるか、またその検知がユーザーのブラウジング体験に悪影響を与えないかなどがある。
  • 所有権変更はユーザーに実質的なセキュリティリスクをもたらす可能性があるため、このような拡張機能は非常に有益で必要なツールである。しかし、この拡張機能がすべての所有権変更を完全に検知できるかどうか、また検知された変更が常に否定的な結果を意味するわけではないため、ユーザーは引き続き注意を払う必要がある。

関連記事

1件のコメント

 
GN⁺ 2024-03-07
Hacker Newsのコメント
  • 数か月前、投稿者は YouTube の広告を高速化する無料のオープンソース拡張機能を作成して Hacker News で共有し、トップページに掲載された。1週間後、あるユーザーがそれをコピーして自分版を Reddit で宣伝し、バイラル化して30万人以上のユーザーを獲得した。投稿者は、なぜ無料のオープンソース拡張機能をコピーしたのかと疑問を呈し、そのユーザーが後に複数のサイトでそれを5桁ドルの金額で売ろうとしていたと述べている。また、Chrome ストアに登録された開発者が変更されていることも発見したという。
    • 拡張機能の ID は、開発者がアプリストアに最初にアップロードするときに提供する秘密鍵から派生し、その後のアップロードに別の key.pem が含まれると ID が変わる。ID が変わっていれば所有者が変わった可能性があるが、元の所有者が新しい所有者に秘密鍵を渡した可能性もある。Google はアップロードのたびに秘密鍵を要求しないため、新しい所有者はその鍵にアクセスしなくても変更をアップロードできる。
    • あるユーザーは、拡張機能エコシステムは非常に興味深いと述べ、この分野向けのツールを開発中だと言及した。特定の拡張機能を対象に GitHub リポジトリを作成して更新を追跡し、各更新をリポジトリに変更として push した後、コードに対して静的アナライザーを実行し、ランタイム汚染分析も試したいとしている。
    • ある人気のオープンソース Chrome 拡張機能の所有者は、何年にもわたって受け取った寄付金は月々のカフェ代すら賄えないと語った。しかし、悪意ある目的で拡張機能を買いたいという提案は何度も受けており、それはすべて断ったという。元の開発者のモラルだけがセキュリティとプライバシー保護の唯一の枠組みであってはならないと主張した。
    • 別のコメント投稿者が言及したように、この拡張機能は有用だが、本来はブラウザに組み込まれているべき機能だという。所有権の変更を自動で知らせるのか、それとも手動で confirm コマンドを実行しなければならないのかという質問もあった。拡張機能の所有権変更にはユーザー承認を必要とするよう、ポリシーを変更すべきだという意見もあった。
    • Firefox 拡張機能については、Mozilla が「Recommended Extensions Program」を運営しており、これはセキュリティ専門家による厳格な技術レビューを受ける。ただし、すべての更新が公開前にレビューされるのかは明確ではない。もしすべての更新がレビューされるなら、人気拡張機能に関するこの問題を解決できるだろう。
    • 拡張機能が悪意ある目的で売買される場合、Google 開発者アカウントの認証情報そのものが売られることが多いため、このようなケースは検出できないことがある。
    • あるユーザーは昔 adblock をインストールし、新しいコンピューターに再インストールするときに権限を確認した。広告をブロックするにはユーザーが見ているものを見られる必要があるが、それがどれほど多くの権限を要求するかについては考えたことがなかったという。今では pihole を使っており、拡張機能はまったく使っていないそうだ。
    • 悪意ある拡張機能の買い手が開発者名をそのまま維持することでこの問題を回避できるのか、Chrome 拡張機能ストアで開発者名が厳格に管理されているのか、という疑問も提起された。
    • 拡張機能の目的には同意するが、すべての拡張機能一覧を拡張機能中心の広告ネットワークに送るのは疑わしいという意見があった。これは、ブラウザが拡張機能マーケットプレイスのドメインを変更する際に特別なルールを持っているため、外部サーバーが必要だと説明されている。
    • すべてのブラウザに組み込まれるべき機能であり、所有者が変更されたら更新は自動的に無効化されるべきだという意見もあった。