注意:本文作者 ericlaw 強調僅代表個人觀點,微軟為打不代表任何實體 (即不代表微軟)。安全ericlaw 曾是團隊挺貴陽云巖找國內小姐(高端外圍服務)vx《356+2895》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達 Office、IE 和 Edge 的工程告攔工程師,現在是師力 Microsoft Defender 團隊產品經理。
關于 Google Chrome Mainfest v3 API 引起的展計爭議非常多,其中最大的擊廣截爭議就是 MV3 限制了廣告擴展程序的能力,因此這被廣泛認為是陰謀谷歌打擊廣告攔截擴展程序,維持自家的論藍廣告業務,廣告是點網谷歌的支柱業務之一。
不過 ericlaw 認為這種說法其實是微軟為打陰謀論,因此 Chrome 團隊的安全本質目的是減少擴展程序 API 的濫用,這牽涉到嚴重的團隊挺隱私和安全問題。

為什么說舊版本的風險很大:
在舊版本中,擴展程序可以在所有網站上讀取和改變數據、師力貴陽云巖找國內小姐(高端外圍服務)vx《356+2895》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達修改隱私設置等。對大多數普通用戶來說,根本不會仔細研究這些權限請求的區別,直接安裝這些擴展同意這些授權。
如果用戶授予了上述權限,那么惡意擴展程序可以讀取用戶的電子郵件、向整個地址簿發送釣魚郵件 (即網頁版的郵件)、從網盤中刪除文件或添加惡意文件、把惡意文件分享給你的好友、在 X/Twitter 賬號上發布廣告等等。
提供這種級別的瀏覽器訪問權限比密碼泄露的風險還要大,因為不少網站使用 2FA 驗證,即便密碼泄露黑客也不一定能登錄,但 2FA 對惡意擴展無效,因為用戶已經自己登錄了網站。
還有供應鏈攻擊問題:
ericlaw 還提到有些情況下,擴展程序作者可能并不是惡意行為者,但他們可能會在無意中被黑客劫持,例如賬號被劫持替換成惡意擴展、開發者不慎使用了帶有后門的庫,這都會導致用戶遭到威脅。
事實上這種情況已經發生過多次,例如:近期多個谷歌瀏覽器擴展程序開發者遭到釣魚攻擊
還有種灰色產業鏈,一些攻擊者會付費給開發者要求接管擴展程序的分發,當攻擊者在擴展程序里添加后門并通過谷歌審核后,這些擴展同樣會被 Chrome 自動更新,進而威脅到很多用戶。
支持 MV3 API:
ericlaw 稱在過去幾年里,Chrome 團隊一直在努力減少新的 MV3 系統被濫用的風險,但專家和其他人已經傳播了精心設計的陰謀論(嗯…這么來說藍點網也是傳播者之一),認為這是谷歌打擊廣告攔截器的一種方式,以保護谷歌的商業利益 (ericlaw 強調:這是一個特別愚蠢的說法,因為谷歌廣告在新系統中是可以屏蔽的)。
那么人類應該做什么呢?盡可能少地使用擴展程序,盡可能使用瀏覽器內置的功能,定期在 about:extension 中刪除不需要和不認識的擴展程序,定期檢查你的以及你家人的擴展程序。
如果你從事 IT 安全行業,應該了解擴展程序的風險幾乎傳統惡意軟件一樣大,因此應該制定一項策略,通過阻止某些權限來幫助您的企業免受惡意擴展程序的侵害,Chrome 和 Edge 都提供了相關組策略可以控制。
甚至你還可以在公司內部創建 Web Store,僅允許員工安裝 IT 安全團隊審查過后的擴展程序,這將有助于防范供應鏈攻擊,有關這方面的更多信息可以查看這份谷歌發布的 PDF。